HackerOne、従業員データが侵害されたことを通知

nosa

2026.03.25

HackerOne、従業員データが侵害されたことを通知　Naviaへのハッキングに起因か

BleepingComputer – March 24, 2026

バグバウンティプラットフォームのHackerOneは、数百人分の従業員データが盗まれたことを該当する従業員に通知している。この侵害は、提携先の米企業Naviaがハッキングされたことに起因するという。

HackerOneは1,950以上のバグバウンティプログラムを運営し、複数の著名企業や米政府機関などに脆弱性開示・ペンテスト・コードセキュリティサービスを提供している。一方のNaviaは、米全土で1万社以上の取引先を有する消費者向け福利厚生管理のリーディングカンパニーだ。

米メイン州の司法長官事務所に提出された書類では、このデータ侵害でHackerOneの従業員287人の機微情報が流出したことも明らかにされた。これらの情報には、影響を受けた従業員とその扶養家族の社会保障番号、氏名、住所、電話番号、生年月日、メールアドレス、プラン加入日、発効日と終了日が含まれるようだ。

そのほかに現時点で報告されているのは、何者かが「破損したオブジェクトレベル認証（BOLA）の脆弱性を悪用し、2025年12月22日から2026年1月15日の間にNaviaのデータにアクセス」したこと。さらに「Naviaは2026年1月23日に自社環境における不審な活動を認識し、影響を受けた企業に同年2月20日付で通知書を送付した」ものの、HackerOneにこの通知が届いたのは3月になってからだった旨が記されている。

Naviaが先週このインシデントを公表した際には、データ侵害の影響を受ける個人の請求情報や金銭関連情報に被害が及んでいない点が強調されている。同社はこのインシデントをデータ窃取攻撃と認識しているが、サイバー犯罪グループやランサムウェアグループによる犯行声明は確認されていない。