HackerOne Navia 2025: violação de dados

A notificação da HackerOne anexada ao registro regulatório explica que a Navia mantinha dados de benefícios em nome da empresa e que a HackerOne foi informada de que uma vulnerabilidade do tipo Broken Object Level Authorization permitiu que uma pessoa desconhecida acessasse esses dados. O documento apresentado à Procuradoria-Geral do Maine identifica 287 funcionários afetados da HackerOne. Em conjunto, esses documentos confirmam que houve roubo de dados e delimitam o escopo específico da empresa.

O BleepingComputer comparou os documentos regulatórios e publicou o período de acesso, o total de funcionários, os campos afetados e a cronologia da Navia. A Navia detectou atividade suspeita em 23 de janeiro de 2026 e enviou às empresas afetadas cartas datadas de 20 de fevereiro.

Dependendo da pessoa, os dados podem incluir uma combinação de números de seguridade social, nomes completos, endereços físicos, números de telefone, datas de nascimento e endereços de e-mail. Também podem incluir datas de adesão a planos de benefícios, de início de vigência e de encerramento, referentes a vínculos empregatícios e a vínculos com os planos. Informações de dependentes vinculados podem ter constado nos arquivos dos funcionários.

Não se deve presumir que todos os campos estavam presentes para os 287 funcionários ou para cada dependente. A notificação descreve uma combinação de dados e não fornece subtotais por categoria.

Broken Object Level Authorization ocorre quando uma aplicação não verifica adequadamente se um usuário tem permissão para acessar um objeto ou registro solicitado. Segundo as informações repassadas à HackerOne, essa falha permitiu que um agente desconhecido acessasse dados da Navia. Este registro usa essa informação como a explicação técnica relatada pelo prestador de serviços e não especula sobre o endpoint exato ou o código usado para explorar a falha.

O incidente não significa que a plataforma de recompensas por identificação de vulnerabilidades da HackerOne ou os programas de segurança de seus clientes tenham sido comprometidos. O ambiente afetado foi o da Navia, que a HackerOne utilizava para administrar benefícios de funcionários. Clientes, pesquisadores e dados de programas da HackerOne não devem ser considerados vítimas apenas por sua relação com a empresa.

A contagem de pessoas ou registros afetados publicada pela fonte oficial representa o escopo relatado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Esse número não representa um novo grupo de pessoas únicas a ser somado ao total geral da Navia; trata-se de um subconjunto do mesmo incidente, delimitado por empresa. Uma pessoa pode estar representada tanto no registro principal da Navia quanto neste registro da HackerOne.

O objetivo do registro secundário não é inflar um total agregado, mas permitir que funcionários da HackerOne encontrem o incidente e o escopo específico que os afeta ao pesquisar pelo nome da empresa. A LeakData preserva essa relação no título, na fonte, nas tags e na descrição. Isso não cria um segundo ataque, um período de acesso separado ou uma alegação independente de um atacante.

A Navia ofereceu às pessoas afetadas 12 meses gratuitos de proteção de identidade e monitoramento de crédito. A HackerOne orientou os funcionários a ficar atentos a mensagens suspeitas, monitorar contas financeiras em busca de atividades incomuns e considerar a alteração de dicas de senha ou perguntas de segurança que se baseiem nas informações pessoais listadas na notificação.

Pessoas cujo número de seguridade social ou data de nascimento estava entre os dados afetados podem considerar um bloqueio de crédito ou um alerta de fraude. Criminosos que conhecem as datas de adesão a benefícios podem se passar pelo setor de recursos humanos ou por um plano de saúde. Por isso, os funcionários devem verificar mensagens que solicitem alterações no plano, dados bancários ou documentos de identidade por meio de canais conhecidos da HackerOne e da Navia.

A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. O acesso continuou até 15 de janeiro de 2026, a Navia detectou atividade suspeita em 23 de janeiro, as notificações às empresas foram enviadas em fevereiro e a divulgação regulatória se tornou pública em março. Essas datas compõem a cronologia de um único incidente principal da Navia.

O subconjunto verificado da HackerOne é de 287 funcionários, com a possível inclusão de algumas informações sobre seus dependentes. Foram afetados nomes, dados de contato e endereço, datas de nascimento, números de seguridade social e datas de adesão e de início de vigência dos planos. Informações sobre pedidos de reembolso e dados financeiros estão excluídos, e a plataforma da HackerOne e os programas de seus clientes não são apresentados como comprometidos. Caso apareça uma mensagem suspeita ou um evento suspeito em uma conta, a verificação deve ser feita pelo canal de contato oficial atual da organização, sem usar links da mensagem.