Утечка данных HackerOne Navia 2025

В уведомлении HackerOne, приложенном к документам регулятора, поясняется, что Navia хранила данные о льготах от имени компании. Также в нём говорится, что HackerOne сообщили об уязвимости Broken Object Level Authorization, которая позволила неустановленному лицу получить доступ к этим данным. В документе, поданном генеральному прокурору штата Мэн, указаны 287 пострадавших сотрудников HackerOne. В совокупности эти документы подтверждают факт кражи данных и масштаб инцидента в отношении этой компании.

BleepingComputer сопоставил документы регулятора и опубликовал период доступа, общее число сотрудников, затронутые поля данных и хронологию событий в Navia. Navia обнаружила подозрительную активность 23 января 2026 года и направила пострадавшим компаниям письма, датированные 20 февраля.

В зависимости от конкретного человека данные могут включать сочетание номеров социального страхования, полных имён, адресов проживания, номеров телефонов, дат рождения и адресов электронной почты. Они также могут включать даты включения в программы льгот, даты начала и прекращения их действия, отражающие трудовые отношения и участие в этих программах. Сведения об иждивенцах могли содержаться в файлах сотрудников.

Не следует считать, что каждое поле присутствовало в данных всех 287 сотрудников или каждого иждивенца. В уведомлении говорится о сочетании сведений, но не приводится численность пострадавших по отдельным категориям данных.

Уязвимость Broken Object Level Authorization возникает, когда приложение недостаточно тщательно проверяет, имеет ли пользователь право доступа к запрашиваемому объекту или записи. Согласно информации, переданной HackerOne, этот недостаток позволил неустановленному лицу получить доступ к данным Navia. В этой записи такое объяснение приводится как техническая информация, сообщённая поставщиком услуг; предположений о конкретной конечной точке или коде эксплуатации уязвимости здесь нет.

Этот инцидент не означает, что платформа HackerOne для программ вознаграждения за обнаружение уязвимостей или программы безопасности её клиентов были скомпрометированы. Затронута была среда Navia, услугами которой HackerOne пользовалась для предоставления льгот сотрудникам. Клиентов HackerOne, исследователей и данные программ не следует считать пострадавшими только из-за их связи с компанией.

Опубликованное официальным источником число пострадавших людей или записей отражает заявленный масштаб инцидента. Оно не означает, что каждая из раскрытых категорий данных относилась к каждому человеку. Это число не представляет собой новую группу уникальных людей, которую нужно прибавить к общему числу пострадавших в Navia: это часть того же инцидента, относящаяся к одной компании. Один человек может быть учтён как в основной записи Navia, так и в этой записи HackerOne.

Цель дочерней записи, не увеличить совокупное число пострадавших, а помочь сотрудникам HackerOne при поиске по названию компании найти инцидент и сведения о том, в какой мере он их затронул. LeakData сохраняет эту связь в заголовке, источнике, тегах и описании. Такая запись не означает второй атаки, отдельного периода доступа или самостоятельного заявления злоумышленника.

Navia предложила пострадавшим 12 месяцев бесплатной защиты от незаконного использования персональных данных и мониторинга кредитной истории. HackerOne рекомендовала сотрудникам обращать внимание на подозрительные сообщения, отслеживать необычную активность на финансовых счетах и рассмотреть возможность изменения подсказок к паролям или контрольных вопросов, если они основаны на персональных сведениях, перечисленных в уведомлении.

Люди, чьи номера социального страхования или даты рождения были затронуты, могут рассмотреть возможность заморозки доступа к кредитной истории или установки предупреждения о возможном мошенничестве. Зная даты включения в программы льгот, преступники могут выдавать себя за сотрудников отдела кадров или представителей программы медицинского страхования. Поэтому сотрудникам следует проверять сообщения с просьбами изменить условия участия в программе, предоставить банковские реквизиты или документы, удостоверяющие личность, через известные им каналы связи HackerOne и Navia.

Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам. Доступ продолжался до 15 января 2026 года, Navia обнаружила подозрительную активность 23 января, уведомления компаниям последовали в феврале, а сведения, поданные регулятору, стали общедоступны в марте. Эти даты составляют хронологию одного основного инцидента Navia.

Подтверждено, что инцидент затронул 287 сотрудников HackerOne; при этом могли быть затронуты и некоторые сведения об их иждивенцах. Были затронуты имена, контактные данные и адреса, даты рождения, номера социального страхования, а также даты включения в программы льгот и начала их действия. Сведения о заявлениях на выплаты и финансовая информация исключены, а платформа HackerOne и программы её клиентов не представлены как скомпрометированные. Если вы получили подозрительное сообщение или заметили подозрительное событие в аккаунте, проверьте его через действующий официальный канал связи организации, не переходя по ссылкам в сообщении.