HackerOne Navia 2025 数据泄露事件

监管记录所附的 HackerOne 通知说明，Navia 代表该公司保管员工福利数据。HackerOne 获知，一处对象级授权失效（Broken Object Level Authorization）漏洞使身份不明的人得以访问这些数据。提交给缅因州总检察长办公室的文件列明，HackerOne 有 287 名员工受到影响。这些文件共同证实了数据确实遭到窃取，也确认了该公司的受影响范围。

BleepingComputer 对比了监管文件，并公布了数据访问时间段、员工总数、受影响字段及 Navia 事件的时间线。Navia 于2026年1月23日发现可疑活动，并向受影响公司发送了日期为2月20日的通知信。

具体因人而异，涉及的数据可能包括社会保障号码、全名、住址、电话号码、出生日期和电子邮箱地址中的若干项，也可能包括反映雇佣关系及福利计划关系的福利计划登记日期、生效日期和终止日期。相关受抚养人的信息也可能出现在员工档案中。

不应假定全部 287 名员工或每名受抚养人都涉及所有这些字段。通知说明，涉及的是上述信息的某种组合，但未提供各类别的受影响人数小计。

当应用程序未能充分核实用户是否有权访问所请求的对象或记录时，就会出现对象级授权失效（Broken Object Level Authorization）。根据 HackerOne 收到的信息，这一漏洞使身份不明的行为者得以访问 Navia 的数据。本条目将其作为服务商报告的技术解释，不推测具体端点或漏洞利用代码。

这起事件并不意味着 HackerOne 的漏洞赏金平台或客户安全项目遭到入侵。受影响的是 Navia 的环境，HackerOne 使用 Navia 提供员工福利服务。不应仅因 HackerOne 的客户、研究人员或项目数据与该公司有关，就将其视为本事件的受害者或受影响数据。

官方来源公布的受影响人数或记录数量，代表所报告的事件范围，并不意味着披露的每一类数据都涉及每个人。这个数字不是在 Navia 事件总体人数之外新增的一批独立受影响者，而是同一事件中按公司划分的一个子集。同一个人可能同时出现在 Navia 主条目和本 HackerOne 条目中。

设立子条目的目的不是扩大汇总数字，而是让 HackerOne 员工按公司搜索时，能够找到这起事件及其具体受影响范围。LeakData 在标题、来源、标签和描述中保留了这一关联。本条目并不代表第二次攻击、另一段独立的访问时间，或攻击者提出的另一项独立说法。

Navia 为受影响者提供了 12 个月的免费身份保护和信用监测服务。HackerOne 建议员工留意可疑消息，监测金融账户中的异常活动，并在密码提示或安全问题依赖于通知中列出的个人信息时，考虑更改这些提示或问题。

社会保障号码或出生日期受到影响的人，可以考虑申请信用冻结或欺诈警示。知晓福利登记日期的犯罪分子可能冒充人力资源部门或医疗保险计划方，因此，如果收到要求更改福利计划、提供银行信息或身份证明文件的消息，员工应通过已知的 HackerOne 和 Navia 渠道进行核实。

本事件的日期以公开来源能够核实的最早技术活动时间为依据。数据访问持续至2026年1月15日，Navia 于1月23日发现可疑活动，随后在2月向相关公司发出通知，监管披露信息于3月公开。这些日期共同构成同一起 Navia 主事件的时间线。

经核实，HackerOne 的受影响子集为 287 名员工，也可能涉及部分员工受抚养人的信息。受影响数据包括姓名、联系方式和地址、出生日期、社会保障号码，以及福利计划登记日期和生效日期。本记录不包括索赔信息和财务信息，也不将 HackerOne 平台及客户项目描述为遭到入侵。如果出现可疑消息或账户活动，应通过相关机构当前的官方联系渠道进行核实，不要使用消息中的链接。