Expedia confirme une intrusion via un prestataire tiers compromis, le groupe d'extorsion n0n revendiquant un vol massif de données (2026)

Le 13 novembre 2026, Expedia Group — l'entreprise de voyage en ligne basée à Seattle à l'origine d'Expedia, Hotels.com et Vrbo — a confirmé que des attaquants avaient obtenu un accès à ses systèmes via un prestataire technologique tiers compromis, après qu'un groupe d'extorsion récemment apparu se faisant appeler n0n eut inscrit l'entreprise sur son site de fuites et affirmé détenir des centaines de millions de dossiers. Expedia a décrit l'événement comme une compromission de la chaîne d'approvisionnement, au cours de laquelle les attaquants ont détourné l'accès de confiance d'un fournisseur pour atteindre les systèmes de plusieurs clients de ce prestataire, dont Expedia.

Ce qu'Expedia a confirmé

Expedia a indiqué avoir pris connaissance de l'incident et contenu le problème, et avoir fait appel à des experts externes en cybersécurité pour enquêter. L'entreprise a déclaré que ses plateformes « restent sûres pour les voyageurs et les partenaires ». Fait important, Expedia n'a pas confirmé le volume ni la nature des données clients exposées, le nombre de personnes concernées, ni si les jeux de données précis décrits par n0n avaient réellement été dérobés, et elle n'a pas attribué publiquement l'attaque à ce groupe.

Les affirmations de l'attaquant

n0n, présenté comme un groupe d'extorsion de données relativement récent, a prétendu avoir dérobé plus de 830 millions de lignes de programme de fidélité, plus de 58 millions de profils de voyageurs et plus de 333 millions de dossiers de comptes et d'identifiants clients, ainsi que des centaines de gigaoctets de données cloud supplémentaires, et a menacé de les publier à défaut d'accord. Ces chiffres sont non vérifiés et émanent uniquement de l'attaquant. Comme l'ont rappelé des chercheurs en sécurité, le nombre de lignes d'une base de données n'équivaut pas au nombre de voyageurs touchés, une même personne pouvant figurer dans de nombreux enregistrements ; par ailleurs, aucune preuve confirmée n'indique que des données de carte bancaire ont été exposées.

Pourquoi c'est important

Si ne serait-ce qu'une fraction des affirmations de n0n se confirmait, il s'agirait de l'une des plus importantes expositions du secteur du voyage — mais la leçon la plus durable est structurelle. Un seul prestataire technologique compromis a offert aux attaquants une porte d'entrée vers plusieurs entreprises en aval à la fois, un schéma à l'origine de nombre des plus grandes fuites de l'année. Pour les clients d'Expedia, le risque immédiat tient à l'hameçonnage ciblé et aux tentatives de détournement de compte s'appuyant sur de véritables informations de réservation et de fidélité ; les voyageurs devraient se méfier des messages inattendus évoquant leurs voyages et activer l'authentification multifacteur lorsqu'elle est disponible.