اختراق بيانات HackerOne – سرقة بيانات الموظفين بعد هجوم على Navia

كشفت HackerOne مؤخرًا عن اختراق بيانات أثر على 287 موظفًا لديها، بعد هجوم سيبراني استهدف مزود خدمات الفوائد الأمريكي Navia Benefit Solutions.

جاء الاختراق نتيجة ثغرة Broken Object Level Authorization (BOLA) في واجهة برمجة التطبيقات (API) الخاصة بـ Navia، والتي كشفت عن المعلومات الشخصية والصحية الحساسة لحوالي 2.7 مليون فرد على مستوى الولايات المتحدة.

استغل فاعل تهديد مجهول ثغرة BOLA في نقطة نهاية API الخاصة بـ Navia، مما منح المهاجم وصولاً غير مصرح به للأنظمة الداخلية بنمط قراءة فقط دون تعديل البيانات أو نشر برمجيات فدية، مما مكّن الاختراق من البقاء غير مكتشف لعدة أسابيع.

بيانات الموظفين المخترقة

حدث الوصول غير المصرح به بين 22 ديسمبر 2025 و15 يناير 2026، واكتشفت Navia النشاط المشبوه رسميًا في 23 يناير 2026، وشرعت بعد ذلك في تحقيق جنائي داخلي بالتعاون مع السلطات الفيدرالية.

على الرغم من اكتشاف الاختراق في أواخر يناير، أبلغت HackerOne عن تأخر كبير في استلام الإشعار الرسمي؛ فقد أرسلت Navia خطابات إعلامية بتاريخ 20 فبراير 2026، لكن HackerOne لم تتلق الإشعار الرسمي إلا في مارس.

بعد التحقق من الحادث، اجتمعت HackerOne مع Navia في 13 مارس 2026 لتقييم نطاق البيانات المخترقة. وانتقدت HackerOne التأخر في الإبلاغ، مطالبة بتوضيح مرضٍ من مزود خدمات الفوائد.

نتيجة لذلك، أطلقت HackerOne تحقيقًا داخليًا مستقلًا لتقييم ممارسات الخصوصية والأمان لدى Navia، محذرة من إمكانية البحث عن مزود بديل إذا لم تُستوفَ المعايير المطلوبة.

التأثير والاحتياطات

• على الرغم من عدم سرقة تفاصيل مالية أو مطالبات، فإن البيانات المكشوفة تكفي لتنفيذ هجمات هندسة اجتماعية متقدمة، سرقة الهوية، وحملات تصيد احتيالي.
• الاختراق أثر على 287 موظفًا لدى HackerOne، ضمن إجمالي 2.7 مليون ضحية عبر عملاء Navia البالغ عددهم 10,000 شركة.
• HackerOne تفترض أن البيانات المخترقة ما زالت قابلة للاستغلال من قبل الجهات المهددة، ونصحت الموظفين بالبقاء يقظين جدًا تجاه محاولات التصيد التي قد تستخدم البيانات المسروقة وانتحال شخصية أصحاب العمل أو الجهات الحكومية.

نصائح للمتضررين:

• مراقبة الحسابات المالية للكشف عن أي نشاط غير معتاد.
• تحديث كلمات المرور وأسئلة الأمان.
• الاستفادة من خدمات حماية الهوية المجانية المتاحة.

المصدر : سايبر سكيورتي