La brecha de Expedia por extorsión ya tiene cifra: casi 1.000 millones de registros de viajeros, según el grupo que los reclama. La compañía no ha confirmado ni el volumen ni la autenticidad de la muestra.
La reivindicación no llega acompañada de nada que se pueda verificar. Ni un comunicado de Expedia Group, ni una notificación pública a las autoridades europeas, ni un volcado de muestra en el portal de filtraciones que estos grupos usan como escaparate. Solo un número. Y en el oficio, un número sin muestra es propaganda.
He seguido reivindicaciones de este tipo durante años y casi siempre se comportan igual: primero el titular, después la negociación y, al final, el peritaje. Usted puede leer la cifra como un hecho consumado o como una pieza de presión. Yo la leo como lo segundo. Lo escribí hace años en El quinto elemento y lo mantengo: el próximo 11S empezará con un clic, no con un avión.
Por qué la cifra de 1.000 millones no encaja todavía
Casi 1.000 millones de registros duplican la población de la Unión Europea. Ningún grupo de viajes acumula clientes únicos en esa proporción sin contar duplicados, cuentas inactivas, reservas de una sola noche y la misma dirección de correo replicada en cinco filiales distintas. Cuando un extorsionador habla de registros habla de filas de base de datos. No de personas.
La distancia entre una fila y un viajero la fija el perito, no el atacante. Aquí no hay perito público, ni muestra, ni sello de autenticidad. De momento. Fíjese en un detalle que casi nadie ha subrayado: el grupo no ha publicado una sola línea del volcado. Los que tienen algo que enseñar, lo enseñan.
Lo que sí existe es el perímetro del grupo atacado. Expedia Group comercializa marcas como Hotels.com, Vrbo, Orbitz o Travelocity y opera en España a través de filiales locales. Si los datos sustraídos incluyen reservas europeas, el expediente deja de ser una disputa entre una empresa estadounidense y una banda criminal: entra el RGPD, entra el artículo 33 con su reloj de 72 horas y entra la Agencia Española de Protección de Datos en cuanto aparezcan afectados residentes en España.
Una cifra sin muestra no es una filtración: es la primera oferta de una negociación que el atacante necesita que sea pública.
Nadie ha dicho todavía qué porcentaje de esos registros corresponde a clientes europeos. Es la única pregunta que de verdad importa en Bruselas.
Hay una tercera posibilidad que conviene poner sobre la mesa, porque en este negocio se ha visto más de una vez: el reciclaje. Un volcado antiguo, remaquetado con una cifra nueva y vendido como exclusiva del mes. Los grupos de extorsión heredan datos de foros cerrados, de filtraciones previas y de terceros que compran barato para revender caro. Si el material es viejo, la compañía lo dirá; si es nuevo, tardará semanas en saberlo con exactitud.
La mecánica de estos grupos es aburridamente repetitiva. Se compra un acceso, se exfiltra antes de cifrar, se abre un portal de negociación con cuenta atrás y se filtra un fragmento si el pago no llega. El plazo suele moverse entre tres y diez días. Pagar garantiza silencio hasta la siguiente vez.
Sobre la atribución rusa que circula en algunos titulares, permítame la cautela. Los grupos de extorsión comparten afiliados, infraestructura alquilada y traductores; deducir la bandera del idioma del mensaje de rescate es cosa de aficionados. Sin informe técnico cruzado, la nacionalidad del atacante es una hipótesis, no un hecho consolidado.
Anatomía del golpe: del acceso inicial al portal de negociación
En una operación así, el acceso no suele ser sofisticado. La mayoría de los incidentes de este tamaño arrancan con credenciales válidas: un infostealer que capturó la sesión de un empleado, un proveedor externo con acceso de mantenimiento, una VPN de borde sin parchear. El mercado de accesos iniciales —los brokers que venden la puerta ya abierta— cobra en función del volumen de facturación de la víctima. Expedia es, por tamaño, un objetivo de primer nivel.
Después viene la parte que casi nunca se cuenta. La exfiltración se hace despacio, por tramos y camuflada en tráfico normal, y puede tardar semanas. El cifrado es el ruido; el robo silencioso es el negocio. Cuando el grupo enseña la muestra, el daño ya está hecho y la copia vive en tres países distintos.
El sector de viajes es objetivo por tres razones poco glamurosas: volumen enorme de datos personales, márgenes ajustados que presionan el gasto en seguridad y una cadena de proveedores larguísima —desde el motor de reservas, hasta el chat de atención al cliente— donde cada eslabón es una puerta. El CCN-CERT viene advirtiendo de este patrón en sus notas técnicas trimestrales, y el marco de la directiva NIS2 empuja a los servicios digitales a notificar incidentes con la misma seriedad que un operador crítico.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con exfiltración previa y extorsión en dos tiempos. Es lo que en el oficio se llama doble extorsión, con reparto de tareas entre quien compra el acceso, quien mueve los datos y quien negocia con la víctima. No hay cifrado destructivo confirmado ni ransomware identificado; lo que se vende es la posesión de la copia.
En el lado atacante no existe atribución técnica independiente. En el defensivo están los equipos de Expedia Group y, en el plano regulatorio, la AEPD y el CCN-CERT en cuanto aparezcan activos españoles. Mirando desde fuera: el FBI, Europol y las autoridades de protección de datos de media Europa, que llevan años esperando una pieza de este calibre para justificar el endurecimiento normativo que ya tienen aprobado sobre el papel.
Mi estimación de clasificación: Reservado en clave empresarial y Confidencial en clave regulatoria. No hay secretos de Estado en juego, pero sí el tipo de dato que permite montar un phishing quirúrgico contra un directivo que viaja la semana que viene: nombre, destino, fechas y número de reserva. Con eso se construye una llamada convincente desde la recepción de un hotel.
El precedente que Expedia debería tener en la pared es British Airways. La filtración de 2018 terminó con una multa de 20 millones de libras en el Reino Unido, muy por debajo de los 183 millones anunciados inicialmente, y con un coste reputacional que tardó años en digerirse. Una reserva perdida cuesta una década de confianza. En turismo, además, el cliente compara en treinta segundos y perdona poco.
Reconozco mi escepticismo con la cifra. No con el ataque. Que un grupo criminal haya entrado en sistemas de Expedia es perfectamente plausible; que haya salido con mil millones de personas distintas, no. No me vale el argumento de que la duda perjudica a la víctima: precisamente porque el mercado no perdona, conviene no convertir una reivindicación en un hecho. La prensa que repite el número sin muestra hace gratis el trabajo de negociación del extorsionador.
El reloj de las 72 horas no ha empezado a correr.
Si Expedia confirma el incidente, el plazo del artículo 33 del RGPD se activará y la AEPD abrirá expediente; si mantiene el silencio, la presión llegará por la vía del regulador europeo y de los socios comerciales. Cualquiera de los dos caminos deja al sector con la misma lección: el eslabón más débil de una reserva nunca fue el precio.
