نشت اطلاعات کارکنان هکر وان پس از هک شرکت Navia

پلتفرم گزارش باگ HackerOne در حال اطلاع‌رسانی به صدها نفر از کارکنان خود است که اطلاعاتشان پس از هک شدن شرکت Navia، یکی از مدیران مزایای این شرکت در ایالات متحده، به سرقت رفته است.

HackerOne بیش از ۱,۹۵۰ برنامه گزارش باگ را مدیریت می‌کند و خدمات افشای آسیب‌پذیری، تست نفوذ و امنیت سایبری کد را به شرکت‌های بزرگ مانند General Motors، Goldman Sachs، Anthropic، GitHub و Uber و همچنین به آژانس‌های دولتی ایالات متحده مانند وزارت دفاع ارائه می‌دهد.

Navia یک مدیر مزایای پیشرو است که به بیش از ۱۰,۰۰۰ کارفرما در سراسر ایالات متحده خدمات ارائه می‌دهد.

جزئیات نشت اطلاعات کارکنان HackerOne

در یک پرونده ثبت‌شده در دفتر دادستان کل مین، HackerOne همچنین فاش کرد که این نشت اطلاعات، اطلاعات حساس ۲۸۷ کارمند را در معرض دید قرار داده است.

این شرکت در این پرونده اعلام کرد: «در این زمان، به ما اطلاع داده شده است که یک آسیب‌پذیری Broken Object Level Authorization (BOLA) منجر به دسترسی یک مهاجم ناشناس به داده‌های Navia بین ۲۲ دسامبر ۲۰۲۵ تا ۱۵ ژانویه ۲۰۲۶ شده است. در ۲۳ ژانویه ۲۰۲۶، Navia از فعالیت مشکوک در محیط خود مطلع شد. Navia نامه‌هایی به تاریخ ۲۰ فوریه ۲۰۲۶ برای شرکت‌های تحت تأثیر ارسال کرد.»

اطلاعات افشا شده شامل ترکیبی از شماره تأمین اجتماعی، نام کامل، آدرس، شماره تلفن، تاریخ تولد، آدرس ایمیل، تاریخ ثبت‌نام در طرح، تاریخ مؤثر و تاریخ خاتمه برای هر کارمند تحت تأثیر و افراد تحت تکفل آنها است.

HackerOne همچنین از کارکنان تحت تأثیر خواست که مراقب پیام‌های مشکوک باشند، حساب‌های مالی خود را برای فعالیت‌های غیرعادی بررسی کنند و از خدمات ۱۲ ماهه رایگان حفاظت از هویت و نظارت بر اعتبار ارائه‌شده توسط Navia استفاده کنند.

این شرکت اضافه کرد: «همچنین ممکن است بخواهید رمزهای عبور یا راهنمایی‌های رمز عبور/سوالات امنیتی را در صورتی که شامل داده‌های شخصی ذکر شده در بالا هستند، تغییر دهید.»

هنگامی که این شرکت اوایل این ماه این حادثه را افشا کرد، Navia تأکید کرد که این نشت اطلاعات بر ادعاها یا اطلاعات مالی افراد تحت تأثیر تأثیری نداشته است. با این حال، داده‌های افشا شده برای مهاجمان کافی است تا حملات فیشینگ و مهندسی اجتماعی را علیه افراد تحت تأثیر این حادثه انجام دهند.

اگرچه Navia این حادثه را به‌عنوان یک حمله سرقت اطلاعات علامت‌گذاری کرده است، هیچ گروه سایبری یا عملیات باج‌افزاری مسئولیت این نشت را بر عهده نگرفته است.