خرق بيانات HackerOne Navia لعام 2025

يوضح الإخطار الصادر عن HackerOne والمرفق بالسجل التنظيمي أن Navia كانت تحتفظ ببيانات المزايا نيابةً عن الشركة، وأن HackerOne أُبلغت بأن ثغرة في التفويض على مستوى الكائن أتاحت لشخص مجهول الوصول إلى البيانات. وتحدد الوثيقة المقدمة إلى المدعي العام لولاية مين عدد موظفي HackerOne المتضررين بـ287 موظفًا. وتؤكد هذه الوثائق مجتمعةً وقوع سرقة فعلية للبيانات ونطاق التأثر الخاص بالشركة.

قارنت BleepingComputer الوثائق التنظيمية ونشرت فترة الوصول إلى البيانات، وإجمالي عدد الموظفين، والحقول المتأثرة، والتسلسل الزمني للحادثة لدى Navia. ورصدت Navia نشاطًا مشبوهًا في 23 يناير 2026، وأرسلت إلى الشركات المتضررة رسائل مؤرخة في 20 فبراير.

بحسب الشخص، قد تتضمن البيانات مجموعة من أرقام الضمان الاجتماعي، والأسماء الكاملة، والعناوين الفعلية، وأرقام الهاتف، وتواريخ الميلاد، وعناوين البريد الإلكتروني. وقد تشمل أيضًا تواريخ التسجيل في خطط المزايا، وتواريخ سريانها وانتهائها، بما يوضح علاقة الشخص بجهة العمل وبالخطة. وربما وردت معلومات عن المُعالين المعنيين ضمن ملفات الموظفين.

لا ينبغي افتراض أن جميع الحقول وردت لكل الموظفين البالغ عددهم 287 أو لكل مُعال. فالإخطار يصف مجموعة من البيانات، ولا يقدم أعدادًا تفصيلية لكل فئة.

يحدث خلل التفويض على مستوى الكائن عندما لا يتحقق التطبيق على نحو كافٍ مما إذا كان مسموحًا للمستخدم الوصول إلى الكائن أو السجل المطلوب. ووفقًا للمعلومات التي نُقلت إلى HackerOne، أتاح هذا الخلل لجهة مجهولة الوصول إلى بيانات Navia. ويورد هذا السجل ذلك بوصفه التفسير التقني الذي أبلغ به مزود الخدمة، دون تكهنات بشأن نقطة النهاية المحددة أو شيفرة الاستغلال.

لا تعني الحادثة أن منصة HackerOne لمكافآت اكتشاف الثغرات أو البرامج الأمنية لعملائها قد تعرضت للاختراق. فالبيئة المتأثرة كانت لدى Navia، التي استعانت بها HackerOne لإدارة مزايا موظفيها. ولا ينبغي اعتبار عملاء HackerOne أو الباحثين أو بيانات البرامج من ضحايا الحادثة لمجرد ارتباطهم بالشركة.

يمثل عدد الأشخاص المتضررين أو السجلات الذي نشره المصدر الرسمي النطاق المُبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المعلن عنها تخص كل شخص. وهذا العدد ليس مجموعة جديدة من الأشخاص الفريدين تُضاف إلى الإجمالي العام لـ Navia، بل هو مجموعة فرعية تخص شركة بعينها ضمن الحادثة نفسها. وقد يُدرج الشخص نفسه في سجل Navia الرئيسي وفي سجل HackerOne هذا.

ليس الهدف من السجل الفرعي تضخيم العدد الإجمالي، بل تمكين موظفي HackerOne من العثور على الحادثة ونطاق تأثرهم المحدد عند البحث باسم الشركة. وتحافظ LeakData على هذا الارتباط في العنوان والمصدر والوسوم والوصف. ولا تُنشئ بذلك هجومًا ثانيًا، أو فترة وصول منفصلة، أو ادعاءً مستقلًا لجهة مهاجمة.

عرضت Navia على المتضررين خدمات مجانية لحماية الهوية ومراقبة الائتمان لمدة 12 شهرًا. ونصحت HackerOne موظفيها بالانتباه إلى الرسائل المشبوهة، ومراقبة حساباتهم المالية لرصد أي نشاط غير معتاد، والنظر في تغيير تلميحات كلمات المرور أو أسئلة الأمان إذا كانت تعتمد على المعلومات الشخصية المذكورة في الإخطار.

يمكن لمن شملت الحادثة رقم ضمانه الاجتماعي أو تاريخ ميلاده أن ينظر في تجميد الائتمان أو تفعيل تنبيه بالاحتيال. وقد ينتحل مجرمون يعرفون تواريخ التسجيل في المزايا صفة قسم الموارد البشرية أو جهة تدير خطة صحية، لذا ينبغي للموظفين التحقق عبر قنوات HackerOne وNavia المعروفة من الرسائل التي تطلب إجراء تغييرات على الخطط، أو تقديم بيانات مصرفية، أو وثائق إثبات الهوية.

يستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه من المصادر العامة. واستمر الوصول إلى البيانات حتى 15 يناير 2026، ورصدت Navia نشاطًا مشبوهًا في 23 يناير، ثم أُرسلت إخطارات الشركات في فبراير، وأصبح الإفصاح التنظيمي متاحًا للجمهور في مارس. وتشكل هذه التواريخ التسلسل الزمني لحادثة Navia رئيسية واحدة.

تضم المجموعة الفرعية المتحقق منها لدى HackerOne عددًا قدره 287 موظفًا، مع احتمال أن تكون الحادثة قد شملت بعض المعلومات عن مُعالي الموظفين. وشملت البيانات المتأثرة الأسماء، وبيانات الاتصال والعناوين، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، وتواريخ التسجيل في الخطط وسريانها. وتُستبعد المطالبات والمعلومات المالية، ولا تُعرض منصة HackerOne وبرامج عملائها على أنها تعرضت للاختراق. وإذا ظهرت رسالة مشبوهة أو واقعة مريبة في الحساب، فينبغي التحقق منها عبر قناة الاتصال الرسمية الحالية للمؤسسة، دون استخدام الروابط الواردة في الرسالة.