HackerOne Navia 2025 डेटा में सेंध

नियामक रिकॉर्ड के साथ संलग्न HackerOne की सूचना में बताया गया है कि Navia कंपनी की ओर से कर्मचारी लाभों से जुड़ा डेटा रखती थी। HackerOne को बताया गया था कि Broken Object Level Authorization संबंधी खामी के कारण एक अज्ञात व्यक्ति इस डेटा तक पहुँच सका। मेन के अटॉर्नी जनरल के पास दाखिल दस्तावेज़ में HackerOne के 287 प्रभावित कर्मचारियों का उल्लेख है। ये दस्तावेज़ मिलकर डेटा की वास्तविक चोरी और इस कंपनी से जुड़े प्रभावित लोगों के दायरे की पुष्टि करते हैं।

BleepingComputer ने नियामक दस्तावेज़ों की तुलना करके डेटा तक पहुँच की अवधि, कर्मचारियों की कुल संख्या, प्रभावित डेटा फ़ील्ड और Navia की घटनाक्रम-संबंधी समयरेखा प्रकाशित की। Navia को 23 जनवरी 2026 को संदिग्ध गतिविधि का पता चला और उसने प्रभावित कंपनियों को 20 फ़रवरी की तारीख वाले पत्र भेजे।

अलग-अलग व्यक्तियों के लिए डेटा में सोशल सिक्योरिटी नंबर, पूरे नाम, भौतिक पते, फ़ोन नंबर, जन्मतिथियाँ और ईमेल पते में से कुछ जानकारियाँ शामिल हो सकती हैं। इसमें लाभ योजनाओं में नामांकन की तारीखें, उनके प्रभावी होने की तारीखें और समाप्ति की तारीखें भी शामिल हो सकती हैं, जो रोजगार और योजना से जुड़े संबंधों का विवरण देती हैं। कर्मचारियों की फ़ाइलों में संबंधित आश्रितों की जानकारी भी मौजूद रही हो सकती है।

यह नहीं मानना चाहिए कि सभी 287 कर्मचारियों या हर आश्रित के लिए प्रत्येक डेटा फ़ील्ड मौजूद था। सूचना में कई प्रकार की जानकारी के संयोजन का उल्लेख है, लेकिन किसी श्रेणी के लिए अलग से संख्या नहीं दी गई है।

Broken Object Level Authorization की समस्या तब होती है जब कोई एप्लिकेशन पर्याप्त रूप से यह जाँच नहीं करता कि उपयोगकर्ता को माँगे गए ऑब्जेक्ट या रिकॉर्ड तक पहुँचने की अनुमति है या नहीं। HackerOne को दी गई जानकारी के अनुसार, इस खामी ने एक अज्ञात व्यक्ति को Navia के डेटा तक पहुँचने का रास्ता दिया। इस प्रविष्टि में इसे सेवा प्रदाता की ओर से दी गई तकनीकी व्याख्या के रूप में इस्तेमाल किया गया है; सटीक एंडपॉइंट या खामी का फायदा उठाने वाले कोड के बारे में कोई अनुमान नहीं लगाया गया है।

इस घटना का अर्थ यह नहीं है कि HackerOne के बग-बाउंटी प्लेटफ़ॉर्म या उसके ग्राहकों के सुरक्षा कार्यक्रमों में सेंध लगी थी। प्रभावित परिवेश Navia का था, जिसकी सेवाएँ HackerOne कर्मचारी लाभों के लिए इस्तेमाल करता था। केवल कंपनी से संबंध होने के आधार पर HackerOne के ग्राहकों, शोधकर्ताओं और कार्यक्रमों से जुड़े डेटा को इस घटना से प्रभावित नहीं मानना चाहिए।

आधिकारिक स्रोत में प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या, घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू होती है। यह संख्या अलग व्यक्तियों का कोई नया समूह नहीं है जिसे Navia की कुल संख्या में अतिरिक्त रूप से जोड़ा जाए; यह उसी घटना में एक कंपनी से जुड़ा उपसमूह है। एक ही व्यक्ति का उल्लेख मूल Navia प्रविष्टि और इस HackerOne प्रविष्टि, दोनों में हो सकता है।

इस उप-प्रविष्टि का उद्देश्य कुल संख्या बढ़ाना नहीं है। इसका उद्देश्य यह है कि HackerOne के कर्मचारी कंपनी के नाम से खोजते समय इस घटना और उससे जुड़े अपने विशिष्ट दायरे को ढूँढ़ सकें। LeakData शीर्षक, स्रोत, टैग और विवरण में इस संबंध को बनाए रखता है। यह किसी दूसरे हमले, डेटा तक पहुँच की अलग अवधि या हमलावर के किसी स्वतंत्र दावे को स्थापित नहीं करता।

Navia ने प्रभावित लोगों को 12 महीने तक निःशुल्क पहचान सुरक्षा और क्रेडिट निगरानी की पेशकश की। HackerOne ने कर्मचारियों को संदिग्ध संदेशों पर नज़र रखने, वित्तीय खातों में असामान्य गतिविधि की निगरानी करने और पासवर्ड संकेतों या सुरक्षा प्रश्नों को बदलने पर विचार करने की सलाह दी, यदि वे सूचना में सूचीबद्ध व्यक्तिगत जानकारी पर आधारित हों।

जिन लोगों के सोशल सिक्योरिटी नंबर या जन्मतिथि इस घटना में शामिल थे, वे क्रेडिट फ़्रीज़ या धोखाधड़ी अलर्ट पर विचार कर सकते हैं। लाभ योजनाओं में नामांकन की तारीखें जानने वाले अपराधी मानव संसाधन विभाग या स्वास्थ्य योजना के प्रतिनिधि बनकर संपर्क कर सकते हैं। इसलिए कर्मचारियों को योजना में बदलाव, बैंक विवरण या पहचान दस्तावेज़ माँगने वाले संदेशों की पुष्टि HackerOne और Navia के ज्ञात संपर्क माध्यमों से करनी चाहिए।

घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है। डेटा तक पहुँच 15 जनवरी 2026 तक जारी रही। Navia को 23 जनवरी को संदिग्ध गतिविधि का पता चला, फ़रवरी में कंपनियों को सूचनाएँ दी गईं और मार्च में नियामक खुलासा सार्वजनिक हुआ। ये तारीखें Navia की एक ही मूल घटना की समयरेखा बनाती हैं।

HackerOne से जुड़े सत्यापित उपसमूह में 287 कर्मचारी हैं, और कर्मचारियों के आश्रितों की कुछ जानकारी भी इसमें शामिल रही हो सकती है। नाम, संपर्क विवरण, पते, जन्मतिथियाँ, सोशल सिक्योरिटी नंबर तथा योजनाओं में नामांकन और उनके प्रभावी होने की तारीखें प्रभावित हुईं। दावों से जुड़ी जानकारी और वित्तीय जानकारी इसमें शामिल नहीं हैं, और HackerOne के प्लेटफ़ॉर्म तथा ग्राहक कार्यक्रमों में सेंध लगने का दावा नहीं किया गया है। यदि कोई संदिग्ध संदेश मिले या खाते में कोई संदिग्ध गतिविधि दिखे, तो संदेश में दिए गए लिंक का इस्तेमाल किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए।