[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$f2y5sjyde08r2b":3,"$f3ilkz9p13pzrw":67},{"success":4,"breach":5},true,{"_id":6,"name":7,"title":8,"slug":9,"domain":10,"breachDate":11,"addedDate":12,"publishedAt":13,"modifiedDate":13,"contentUpdatedAt":13,"source":14,"sourceUrl":15,"sourceUrls":16,"pwnCount":19,"affectedCount":19,"affectedCountStatus":20,"affectedCountLowerBound":21,"affectedCountUnit":22,"hasEnglishDescription":4,"contentLocale":23,"availableLocales":24,"translations":34,"severity":45,"dataClasses":46,"description":57,"seoTitle":58,"seoDescription":59,"logoUrl":60,"isVerified":4,"isSensitive":4,"isSpamList":61,"isMalware":61,"company":62},"6a66b59ec60a8a05e03e26d2","HackerOneNavia2025","Fuite de données HackerOne Navia 2025","hackerone-navia-2025","hackerone.com","2025-12-22T00:00:00.000Z","2026-07-27T01:34:22.754Z","2026-10-09T21:59:27.086Z","HackerOne employee subset of the Navia Benefit Solutions data theft","https:\u002F\u002Fwww.maine.gov\u002Fagviewer\u002Fcontent\u002Fag\u002F985235c7-cb95-4be2-8792-a1252b4f8318\u002F7a57bd2b-9c89-4b3c-8ff9-41f55eea067c.html",[15,17,18],"https:\u002F\u002Fwww.maine.gov\u002Fcgi-bin\u002Fagviewerad\u002Fret?loc=3716","https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fhackerone-discloses-employee-data-breach-after-navia-hack\u002F",287,"known",null,"unknown","fr",[25,26,27,28,29,30,23,31,32,33],"en","tr","zh","hi","es","ar","bn","pt","ru",{"en":35,"tr":36,"zh":37,"hi":38,"es":39,"ar":40,"fr":41,"bn":42,"pt":43,"ru":44},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},"Low",[47,48,49,50,51,52,53,54,55,56],"Social Security numbers","Full names","Physical addresses","Phone numbers","Dates of birth","Email addresses","Benefits plan enrollment dates","Benefits plan effective dates","Benefits plan termination dates","Dependent information","\u003Cp>\u003Cstrong>La fuite de données HackerOne Navia 2025\u003C\u002Fstrong> est un incident survenu chez un prestataire tiers. HackerOne a informé 287 salariés que des données sensibles les concernant, ainsi que leurs ayants droit concernés, avaient été volées lors de l’attaque contre Navia Benefit Solutions, son prestataire américain chargé de la gestion des avantages sociaux. Un acteur non identifié a accédé aux données de Navia entre le 22 décembre 2025 et le 15 janvier 2026.\u003C\u002Fp>\n\u003Cp>Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident. Le dossier du procureur général du Maine fait état d’un total de 287 salariés pour HackerOne.\u003C\u002Fp>\n\u003Ch2>Comment l’impact sur HackerOne a-t-il été confirmé ?\u003C\u002Fh2>\n\u003Cp>La notification de HackerOne jointe au dossier réglementaire explique que Navia détenait des données relatives aux avantages sociaux pour le compte de l’entreprise et que HackerOne avait été informée qu’une vulnérabilité de type Broken Object Level Authorization avait permis à une personne non identifiée d’accéder aux données. Le document déposé auprès du procureur général du Maine recense 287 salariés de HackerOne touchés. Ensemble, ces documents confirment le vol effectif de données et le périmètre propre à l’entreprise.\u003C\u002Fp>\n\u003Cp>BleepingComputer a comparé les documents réglementaires et publié la période d’accès, le nombre total de salariés, les champs de données touchés et la chronologie des événements chez Navia. Navia a détecté une activité suspecte le 23 janvier 2026 et envoyé aux entreprises concernées des courriers datés du 20 février.\u003C\u002Fp>\n\u003Ch2>Quelles données des salariés et de leurs ayants droit ont été touchées ?\u003C\u002Fh2>\n\u003Cp>Selon la personne, les données peuvent comprendre une combinaison de numéros de sécurité sociale, de noms complets, d’adresses postales, de numéros de téléphone, de dates de naissance et d’adresses e-mail. Elles peuvent aussi inclure les dates d’adhésion aux régimes d’avantages sociaux, de prise d’effet et de fin, qui renseignent sur les liens avec l’employeur et les régimes concernés. Des informations sur les ayants droit concernés ont pu figurer dans les dossiers des salariés.\u003C\u002Fp>\n\u003Cp>Il ne faut pas supposer que tous les champs figuraient dans les données de chacun des 287 salariés ou de chaque ayant droit. La notification décrit une combinaison de données et ne fournit aucun sous-total par catégorie.\u003C\u002Fp>\n\u003Ch2>Que signifie la vulnérabilité BOLA ?\u003C\u002Fh2>\n\u003Cp>Une vulnérabilité de type Broken Object Level Authorization survient lorsqu’une application ne vérifie pas suffisamment si un utilisateur est autorisé à accéder à l’objet ou à l’enregistrement demandé. Selon les informations transmises à HackerOne, cette faille a permis à un acteur non identifié d’accéder aux données de Navia. Cette fiche reprend l’explication technique rapportée par le prestataire, sans spéculer sur le point d’accès précis ni sur le code d’exploitation.\u003C\u002Fp>\n\u003Cp>L’incident ne signifie pas que la plateforme de récompenses pour la découverte de vulnérabilités de HackerOne ou les programmes de sécurité de ses clients ont été compromis. L’environnement touché était celui de Navia, dont HackerOne utilisait les services pour les avantages sociaux de ses salariés. Les clients de HackerOne, les chercheurs et les données des programmes ne doivent pas être considérés comme victimes du seul fait de leur lien avec l’entreprise.\u003C\u002Fp>\n\u003Ch2>Quel est le lien entre ces 287 personnes et la fiche principale consacrée à Navia ?\u003C\u002Fh2>\n\u003Cp>Le nombre de personnes ou d’enregistrements touchés publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne. Ce nombre ne constitue pas un nouveau groupe de personnes distinctes à ajouter au total global de Navia : il s’agit d’un sous-ensemble du même incident, à l’échelle d’une entreprise. Une même personne peut figurer à la fois dans la fiche principale de Navia et dans cette fiche HackerOne.\u003C\u002Fp>\n\u003Cp>Cette fiche secondaire n’a pas pour objectif de gonfler un total, mais de permettre aux salariés de HackerOne de retrouver l’incident et le périmètre qui les concerne lors d’une recherche par entreprise. LeakData conserve ce lien dans le titre, la source, les étiquettes et la description. Cette fiche ne crée ni une deuxième attaque, ni une période d’accès distincte, ni une revendication indépendante d’un attaquant.\u003C\u002Fp>\n\u003Ch2>Notifications et mesures à la disposition des salariés\u003C\u002Fh2>\n\u003Cp>Navia a proposé aux personnes touchées 12 mois de services gratuits de protection de l’identité et de surveillance du crédit. HackerOne a conseillé aux salariés de rester attentifs aux messages suspects, de surveiller toute activité inhabituelle sur leurs comptes financiers et d’envisager de modifier leurs indices de mot de passe ou leurs questions de sécurité si ceux-ci reposent sur les informations personnelles mentionnées dans la notification.\u003C\u002Fp>\n\u003Cp>Les personnes dont le numéro de sécurité sociale ou la date de naissance était concerné peuvent envisager de geler leur dossier de crédit ou de mettre en place une alerte à la fraude. Des criminels connaissant les dates d’adhésion aux régimes d’avantages sociaux peuvent se faire passer pour le service des ressources humaines ou pour un organisme de couverture santé. Les salariés doivent donc vérifier, par les canaux connus de HackerOne et de Navia, les messages demandant des modifications de régime, des coordonnées bancaires ou des documents d’identité.\u003C\u002Fp>\n\u003Ch2>Comment interpréter cette fiche LeakData ?\u003C\u002Fh2>\n\u003Cp>La date de l’incident repose sur l’activité technique la plus ancienne qui puisse être vérifiée à partir de sources publiques. L’accès s’est poursuivi jusqu’au 15 janvier 2026, Navia a détecté une activité suspecte le 23 janvier, les notifications aux entreprises ont suivi en février et la déclaration réglementaire a été rendue publique en mars. Ces dates constituent la chronologie d’un seul incident principal chez Navia.\u003C\u002Fp>\n\u003Cp>Le sous-ensemble vérifié pour HackerOne compte 287 salariés, et certaines informations sur leurs ayants droit ont potentiellement été concernées. Les noms, les coordonnées et les adresses, les dates de naissance, les numéros de sécurité sociale ainsi que les dates d’adhésion et de prise d’effet des régimes ont été touchés. Les données relatives aux demandes de prestations et les informations financières sont exclues, et la plateforme HackerOne ainsi que les programmes de ses clients ne sont pas présentés comme compromis. Si un message suspect ou un événement inhabituel sur un compte apparaît, il convient de le vérifier par le canal de contact officiel actuel de l’organisation, sans utiliser les liens présents dans le message.\u003C\u002Fp>","Fuite de données HackerOne Navia 2025 (287 Enregistrements signalés)","Fuite de données HackerOne Navia 2025. Nombre signalé : 287 enregistrements. Données signalées : Numéros de sécurité sociale, Noms complets, Adresses…","\u002Fuploads\u002Flogo\u002Fhackerone_com.svg",false,{"name":63,"sector":64,"country":65,"website":10,"websiteArchiveUrl":66,"websiteStatus":66,"websiteCheckedAt":21},"HackerOne Inc.","Cybersecurity","United States","",{"success":4,"breaches":68},[69,76,82,89],{"slug":70,"title":71,"companyName":72,"logoUrl":73,"breachDate":74,"affectedCount":21,"affectedCountStatus":75},"lastpass-klue-2026","LastPass : violation de données de 2026 via la chaîne d’approvisionnement de Klue","LastPass","\u002Fuploads\u002Flogo\u002Flastpass_com.svg","2026-06-12T00:00:00.000Z","not_disclosed",{"slug":77,"title":78,"companyName":79,"logoUrl":80,"breachDate":81,"affectedCount":21,"affectedCountStatus":75},"trellix-2026","Compromission du code source de Trellix en 2026","Trellix","\u002Fuploads\u002Flogo\u002Ftrellix_com.svg","2026-04-18T00:00:00.000Z",{"slug":83,"title":84,"companyName":85,"logoUrl":86,"breachDate":87,"affectedCount":88,"affectedCountStatus":20},"wormgpt-2026","WormGPT AI Fuite de données","WormGPT AI","\u002Fuploads\u002Flogo\u002Fwormgpt.webp","2026-02-09T00:00:00.000Z",4177,{"slug":90,"title":91,"companyName":92,"logoUrl":93,"breachDate":94,"affectedCount":95,"affectedCountStatus":20},"medela","Medela Fuite de données","Medela","\u002Fuploads\u002Flogo\u002Fmedela.webp","2026-09-07T00:00:00.000Z",423947]