Navia Benefit Solutions, Inc.（ナビア・ベネフィット・ソリューションズ）はワシントン州レントンを本拠地とする従業員給付管理会社であり、全米1万社以上の雇用主に対して医療費柔軟支出口座（FSA）・医療費払戻手配（HRA）・COBRA給付継続・従属ケア支援プログラム（DCAP）などの管理サービスを提供している。HIPAAのビジネス・アソシエイトとして患者の健康保険情報を取り扱う。
2025年12月22日から2026年1月15日にかけての24日間、Naviaの外部公開APIにBroken Object Level Authorization（BOLA、オブジェクトレベル認可不備）と呼ばれる設計上の欠陥が存在し、認証済みユーザーがAPIリクエスト内の識別子を操作することで他参加者のレコードを読み取り専用で閲覧できる状態になっていた。攻撃者はこの脆弱性を静かに利用し、28日間のシステムアクセスを通じて複数の給付プログラム参加者の個人情報を取得した可能性がある。
2026年1月23日、Naviaが環境内の不審な活動を検知し、外部フォレンジック専門家を起用して調査を開始した。調査の結果、氏名・生年月日・社会保障番号（SSN）・電話番号・メールアドレス・住所・健康保険情報（HRA・FSA・COBRA加入情報）が漏洩した可能性があることが確認された。金融口座情報・クレジットカード情報・医療クレーム・請求データへの影響はなかった。
2026年3月13日に公式通知をウェブサイトに掲載してプレスリリースを配信するとともに、HHS OCRへ届出を行い、メイン州司法長官への提出では2,697,540人が影響を受けたことを報告した。同月18日から個人通知書の郵送が開始された。発覚から通知まで約3か月を要したことで批判を受け、複数の法律事務所がクラスアクション調査を発表した。影響を受けた個人には12か月間の無償クレジットモニタリング・個人情報保護サービスが提供された。本件はBOLA（API認可不備）という比較的地味だが効果的な手法による大規模医療データ侵害の事例として、セキュリティコミュニティで広く言及された。