![]()
找漏洞的人,這次被供應商的漏洞找了麻煩。HackerOne近300名員工數據泄露,源頭不是自家系統,而是第三方福利管理商Navia Benefit Solutions的一個BOLA授權漏洞。攻擊者在2025年12月22日到2026年1月15日期間自由出入,拿走了社保號、住址、生日、健康計劃信息——全套身份盜竊 starter pack。
Navia 1月23日就發現了異常,HackerOne卻等到3月才收到正式通知。中間那封2月20日的信,據說"在途延誤"。HackerOne毫不客氣地記了一筆:「仍在等待一個令人滿意的延遲解釋」。換句話說,供應商的危機公關速度,比漏洞修復還慢。
![]()
這起事件波及遠超HackerOne。Navia上周承認,同一入侵影響了260多萬人。公司網站目前無法訪問,是否與攻擊有關尚不清楚。更諷刺的是,HackerOne的業務就是幫別人找這種漏洞,現在卻要幫員工監控信用凍結、提防釣魚郵件。
HackerOne已經放話,正在重新評估Navia的安全實踐,"其他潛在供應商選項"也在考慮中。一個靠挑別人安全毛病吃飯的公司,最終可能因為供應商的安全毛病換供應商——這閉環有點黑色幽默。
特別聲明:以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.