Cybersecuritybedrijf HackerOne heeft bijna 300 medewerkers geïnformeerd dat hun persoonlijke gegevens mogelijk zijn gelekt bij een datalek bij Navia Benefit Solutions, een externe beheerder van personeelsvoordelen. Navia maakte vorige week bekend dat er op 23 januari ongeautoriseerde toegang tot haar systemen is ontdekt. Uit onderzoek bleek dat de aanvaller tussen 22 december 2025 en 15 januari 2026 toegang had tot de systemen.

De hackers hebben onder andere namen, geboortedata, burgerservicenummers, telefoonnummers, e-mailadressen en informatie over zorgverzekeringen buitgemaakt. Navia meldde aan het kantoor van de procureur-generaal van Maine dat bijna 2,7 miljoen personen getroffen zijn door het datalek. HackerOne, dat Navia als een van haar Amerikaanse voordelenbeheerders gebruikt, gaf aan dat de gegevens van 287 medewerkers mogelijk zijn blootgesteld. De melding van Navia aan HackerOne dateert van 20 februari, maar werd pas in maart ontvangen.

HackerOne benadrukte dat het zorgvuldig omgaan met persoonlijke data centraal staat binnen de organisatie en dat het incident met prioriteit wordt onderzocht. Het bedrijf voert een eigen onderzoek uit en werkt actief samen met Navia om te achterhalen hoe het lek heeft kunnen plaatsvinden en welke verbeteringen nodig zijn om de gegevens van medewerkers en hun gezinsleden beter te beschermen. Daarnaast zal HackerOne de privacy- en beveiligingsmaatregelen van Navia evalueren en overweegt het alternatieven voor de voordelenbeheerder als de huidige maatregelen onvoldoende blijken.

Navia gaf in haar bericht aan de betrokkenen aan dat er geen aanwijzingen zijn voor misbruik van de gelekte gegevens. Dit is een standaardverklaring die vaak wordt afgegeven na een datalek. Er is geen bewijs dat cybercriminelen de gestolen data openbaar hebben gemaakt, maar dergelijke disclaimers zijn ook in het verleden gebruikt door bedrijven waarvan data later toch publiek uitlekte.