Expedia Groupは、第三者のデータ基盤事業者が侵害され、その事業者に許可していたアクセスを通じて自社のシステムにも侵入されたと、旅行業界メディアSkiftへの声明で説明しました。Skiftの報道は2026年11月12日米東部時間、日本時間では13日です。
同社は問題を封じ込め、外部の専門家と調査を進めており、旅行者・取引先ともにサービスは安全に利用できるとしています。一方、侵害された事業者の名前、漏えいした情報の種類や規模は明らかにしていません。 Skiftの報道と会社声明
侵入の確認と、漏えい規模の主張を分けて読む
今回の報道で区別したいのは、会社が認めた侵入と、攻撃者側が主張するデータの量です。
- 会社の説明： 外部のデータ基盤事業者が持つアクセスを悪用され、Expediaを含む複数企業のシステムに侵入された。
- 攻撃者側の主張： 恐喝グループ「n0n」がExpediaのデータを保有すると主張し、公開を示唆している。
- まだ確認できないこと： どの利用者・取引先が対象か、何の情報が実際に持ち出されたか、その件数。
大きな数字が報じられていても、データの「行数」や「レコード数」は、そのまま被害人数を表しません。同じ人に関する記録が複数含まれる可能性もあり、数字自体の確認も必要です。本記事では、攻撃者の主張する数量を確定した漏えい規模として扱いません。Skift
利用者は、届いた連絡のリンクより公式の画面から確認を
利用している旅行予約サービスから連絡が来た場合は、普段使う公式アプリや、自分で開いた公式サイトから内容を確認してください。メールやSMSのリンクだけを頼りに、ログイン情報やカード情報を入力しないことが大切です。
Expediaも通常の安全案内で、個人情報の入力やリンク・添付ファイルの操作を促すフィッシングに注意を呼びかけています。電話やメールでアカウントのパスワードを尋ねることはないと説明しています。Expediaのフィッシングに関する案内・Expediaの安全に関する説明
確認の順番は、次のようにすると落ち着いて対応できます。
- 公式アプリやサイトで、個別の案内と予約・アカウントの状況を見る。
- 身に覚えのない変更や予約があれば、公式サイト内の窓口から問い合わせる。
- 自分が対象だという案内を受けたら、示された情報の種類と対応方法を確認する。
これらは不審な連絡に備えるための一般的な対策です。今回の侵入で全利用者のパスワードが漏れた、あるいは予約が改変されたと確認されたわけではありません。
Quboleの権限悪用は、別の調査として確認する
今回の報道では、クラウドのデータ処理サービスQuboleに関連する攻撃にも触れられています。ただし、Expediaは今回侵害された事業者をQuboleと認めていません。Expediaで、利用終了後の権限が残っていたことも確認されていません。 この点をつなげて、今回の原因と断定することはできません。Skift
一方、Quboleに関する調査自体は、外部サービスの権限を点検する具体的な材料になります。Wizは11月9日、Quboleに関連するAWSアカウントの認証情報が悪用され、顧客のクラウド環境でデータの持ち出しなどを観測したと報告しました。Sentraも、Quboleの利用をやめた後にアクセス権限が残っていた事例を説明しています。Wizの一次調査・Sentraの一次調査
事業者が確かめたいのは、取引先に許可したアクセスの範囲
自社のWebサイトや業務システムを外部サービスにつないでいる場合は、管理担当者や保守会社に次の点を確認すると、今回のニュースを実務に生かせます。
- 現在と過去の連携先： どのサービスが、自社のクラウドやデータにアクセスできるか。
- 利用終了時の処理： 契約や試用を終えた際に、接続用の権限を誰が取り消したか。
- 残す権限と記録： 必要以上のデータを読めないか。異常な利用を調べる操作記録が残っているか。
契約を終えたことと、技術的な接続許可を取り消したことは、分けて確かめる必要があります。利用中の設定を一括で消すと業務が止まることもあるため、用途と停止時の影響を確認して進めます。
QuboleとAWSの連携を使ったことがある組織向けの調査期間、アクセス記録、認証情報の更新については、QuboleのAWS連携権限を解説した記事にまとめています。
Expediaの利用者は個別案内と公式の続報を、事業者は自社の外部連携の管理状況を確認する。現時点では、この二つを分けて進めるのが適切です。
2026年11月14日時点で確認した公開情報に基づきます。Expediaの説明はSkiftに掲載された会社声明を参照しています。対象者、漏えい情報、規模などは今後の公表で変わる可能性があります。