Defense Manpower Data Center (DMDC), centralna instytucja Departamentu Obrony USA odpowiadająca za dane osobowe i tożsamość personelu, potwierdziła naruszenie w jednym ze swoich systemów udostępniania plików.
Liczby, potwierdzone stacji CNN przez przedstawiciela resortu obrony: 2,76 miliona osób żyjących i 294 tysiące zmarłych, łącznie nieco ponad trzy miliony.
Najistotniejsza jest oś czasu. Podatność umożliwiała nieuprawniony dostęp mniej więcej od października 2025 roku do 16 lipca 2026, kiedy ją wykryto. To około dziewięciu miesięcy. Listy z powiadomieniem dla poszkodowanych noszą datę 18 września 2026, czyli kolejne dwa miesiące później.
Ujawnione pliki były nieszyfrowane i zawierały numery ubezpieczenia społecznego.
W tygodniu rozpoczynającym się 20 października dwóch żołnierzy piechoty morskiej złożyło federalny pozew zbiorowy przeciwko resortowi. Pentagon oświadczył, że nie stwierdził dowodów na wykorzystanie tych danych.
Co się wydarzyło
Oś czasu
Kiedy | Co |
|---|---|
Około października 2025 | Rozpoczyna się nieuprawniony dostęp do systemu udostępniania plików DMDC |
16 lipca 2026 | DMDC wykrywa podatność, mniej więcej dziewięć miesięcy później |
18 września 2026 | Data listów z powiadomieniem dla poszkodowanych |
Koniec września 2026 | Sprawa staje się publiczna dzięki Military Times i kolejnym doniesieniom |
Tydzień od 20 października 2026 | Dwóch żołnierzy piechoty morskiej składa federalny pozew zbiorowy |
Co zostało ujawnione
Zakres ujawnionych danych różnił się w zależności od osoby i obejmował kombinacje:
Numerów ubezpieczenia społecznego (SSN)
Imion i nazwisk oraz dat urodzenia
Danych kontaktowych
Danych demograficznych, w tym płci i rasy
Danych personalnych z wojska, w tym specjalności wojskowych
Pliki przechowywano bez szyfrowania. Komunikat DMDC mówi o dostępie uzyskanym przez „niewielką liczbę nieuprawnionych użytkowników".
Czym jest DMDC
To nie jest system peryferyjny. DMDC pełni rolę głównej instytucji Pentagonu odpowiadającej za dane personalne i tożsamość, utrzymując ponad 60 milionów rekordów osobowych według stanu na rok budżetowy 2024, obejmujących żołnierzy, pracowników cywilnych, kontraktorów, członków rodzin, emerytów wojskowych i weteranów. Inne systemy Departamentu Obrony opierają się na jego danych przy weryfikacji służby wojskowej, uprawnień do świadczeń i legitymacji.
Ujawniono mniej więcej jeden na dwadzieścia przechowywanych rekordów. Dla porównania, armia Stanów Zjednoczonych liczy obecnie około 1,36 miliona żołnierzy w służbie czynnej, więc populacja poszkodowanych jest ponad dwukrotnie większa.
W DMDC mieści się również Defense Casualty Analysis System.
Pozew
Czynny żołnierz piechoty morskiej Tristyn Edwards oraz weteran tej formacji Morgan Stampfli złożyli federalny pozew zbiorowy, wskazując resort jako pozwanego. Pozew zarzuca Pentagonowi „rażące lekceważenie interesów prywatności żołnierzy" oraz brak wdrożenia zabezpieczeń administracyjnych, technicznych i fizycznych wymaganych przez Privacy Act.
Edwards argumentuje, że szkoda będzie trwać latami, wskazując na kradzież tożsamości, nieuprawnione obciążenia i linie kredytowe otwierane bez zgody. Powodowie chcą reprezentować ponad trzy miliony poszkodowanych i domagają się odszkodowania przekraczającego 5 milionów dolarów.
Czego nie ustalono
Kilka twierdzeń krążących w sieci nie ma oparcia w doniesieniach:
Nie wykazano, by dane trafiły do obcego rządu. Nie ma ustalenia w tej sprawie.
Nie opublikowano żadnej atrybucji. Owa „niewielka liczba nieuprawnionych użytkowników" nie została publicznie zidentyfikowana.
Pentagon twierdzi, że nie wykrył nadużyć. To stwierdzenie o wykrywaniu, a nie o tym, co faktycznie się stało.
Kontekst
W podobnym okresie poważne naruszenie dotknęło FBI, według doniesień za sprawą grupy przestępczej ShinyHunters, ujawniając dane osób pełniących role wywiadowcze. To odrębne incydenty, ale dotykają tego samego pytania: jak dobrze amerykańskie agencje federalne chronią dane osobowe ludzi, których tożsamość sama w sobie jest wrażliwa.
Punktem odniesienia pozostaje naruszenie w Office of Personnel Management z 2015 roku, które ujawniło około 21,5 miliona akt postępowań sprawdzających i odrębnie objęło około 4,2 miliona pracowników federalnych. Tamto zawierało również odciski palców i dane z historii osobistej. Jest większe i to ono sprawiło, że tę kategorię naruszeń traktuje się jako sprawę kontrwywiadowczą, a nie wyłącznie kwestię prywatności.
Dlaczego to ma znaczenie
Problemem jest kombinacja pól, a nie pojedyncza informacja. Numer ubezpieczenia społecznego to ryzyko oszustwa finansowego. Ten sam numer w zestawieniu ze specjalnością wojskową, datą urodzenia i danymi kontaktowymi tworzy pakiet umożliwiający typowanie celów. Mówi przeciwnikowi nie tylko, kim ktoś jest, ale czym się zajmuje, co pozwala posortować trzy miliony osób według przydatności.
„Brak dowodów nadużycia" znaczy tu mniej niż zwykle. Obca służba wywiadowcza, która zdobywa takie dane, nie zakłada na nie kart kredytowych. Buduje profile, identyfikuje osoby podatne na kontakt i konstruuje wiarygodne podejścia. Jedna z przytaczanych ocen opisuje to ryzyko jako umożliwiające „phishing, profilowanie i podejścia wywiadowcze". Nic z tego nie generuje sygnału, który wychwyci usługa monitoringu kredytowego.
Dwanaście miesięcy monitoringu nie odpowiada skali ryzyka. Pentagon zaoferował rok ochrony tożsamości i monitoringu kredytowego. Numeru ubezpieczenia społecznego nie da się łatwo zmienić. Historia służby wojskowej nie zmienia się nigdy. Skradzione dane tożsamościowe tego rodzaju pozostają użyteczne latami i można je łączyć z rejestrami publicznymi, bazami komercyjnymi, mediami społecznościowymi i wcześniejszymi wyciekami, budując precyzyjnie dopasowane kampanie. Ochrona wygasa. Ekspozycja nie.
Od początku ekspozycji do powiadomienia minęło jedenaście miesięcy. Dziewięć miesięcy bez wykrycia, potem dwa kolejne do wysyłki listów. Dla poszkodowanych to jedenaście miesięcy, w których nie mogli podjąć nawet podstawowych działań ochronnych.
Słowem definiującym tę sprawę będzie „nieszyfrowane". Szyfrowanie danych w spoczynku nie zapobiegłoby nieuprawnionemu dostępowi do serwera, ale zmieniłoby to, z czym napastnicy odeszli. W sporze sądowym na gruncie Privacy Act ta różnica będzie miała znaczenie.
Kogo to dotyczy
2,76 miliona osób żyjących powiązanych z wojskiem: żołnierzy służby czynnej, pracowników cywilnych, kontraktorów, emerytów wojskowych, weteranów i członków rodzin.
Rodzin 294 tysięcy osób zmarłych, które zwykle nie są objęte ofertą ochrony tożsamości i nie mają prostej drogi dochodzenia roszczeń.
Żołnierzy służby czynnej na wrażliwych stanowiskach, dla których ujawnienie specjalności wojskowej jest polem o najpoważniejszych konsekwencjach.
Każdego, czyj małżonek lub rodzic należy do tej grupy, bo członkowie rodzin figurują w rejestrach DMDC, a dane o relacjach ułatwiają typowanie celów.
Samego Departamentu Obrony, wobec pozwu zbiorowego i ponownej analizy sposobu zabezpieczania danych personalnych.
Co zrobić, jeśli możesz być poszkodowany
Natychmiast
Sprawdź, czy otrzymałeś list z powiadomieniem datowany na 18 września 2026. Jeśli zmieniałeś adres, list mógł nie dotrzeć.
Skorzystaj z oferowanej ochrony tożsamości i monitoringu kredytowego, mając świadomość, że dwanaście miesięcy jest krótsze niż okres ryzyka.
Ustanów blokadę kredytową w biurach informacji kredytowej. Blokada chroni skuteczniej niż monitoring, bo monitoring informuje po fakcie, a blokada zapobiega.
Ustaw alerty o próbach wyłudzenia i rozważ ich odnowienie po wygaśnięciu.
Ponieważ ryzyko nie jest wyłącznie finansowe
Spodziewaj się ukierunkowanej socjotechniki, a nie tylko oszustw finansowych. Wiadomości poprawnie odwołujące się do Twojej służby, jednostki czy specjalności są teraz możliwe do skonstruowania. Trafny szczegół osobisty nie jest dowodem wiarygodności.
Zachowaj ostrożność wobec niezamówionych kontaktów zawodowych, w tym ofert rekrutacyjnych, próśb o udział w badaniach i zaproszeń na konferencje, zwłaszcza gdy nadawca wykazuje znajomość Twojej roli.
Zgłaszaj podejrzane kontakty drogą służbową lub do komórki bezpieczeństwa, a nie wyłącznie do instytucji zajmujących się oszustwami konsumenckimi. Jeśli podejście ma charakter wywiadowczy, agencje konsumenckie są niewłaściwym adresatem.
Przejrzyj, co jeszcze o Tobie jest publiczne, w tym media społecznościowe potwierdzające szczegóły służby, bo wartość wykradzionych danych rośnie, gdy da się je potwierdzić z innych źródeł.
Dla organizacji przechowujących podobne dane
Szyfruj dane personalne w spoczynku. To jedyny mechanizm techniczny, który zmieniłby wynik tej sprawy.
Zaudytuj konkretnie systemy udostępniania plików. Zwykle stoją poza głównym programem bezpieczeństwa aplikacji i gromadzą wrażliwe eksporty.
Zmierz swój czas wykrycia nieuprawnionego dostępu do zbiorów danych. Dziewięć miesięcy to liczba, do której warto się porównać.
Skróć odstęp między wykryciem a powiadomieniem. Dwa miesiące to czas, który poszkodowani mogli przeznaczyć na własną ochronę.
Dopasuj zadośćuczynienie do rodzaju danych. Tam, gdzie ujawnionych danych nie da się zmienić, ograniczona czasowo oferta monitoringu jest gestem, a nie rozwiązaniem.
Podsumowanie
Serwer plików, podatność, której przez dziewięć miesięcy nikt nie zauważył, i trzy miliony nieszyfrowanych rekordów należących do ludzi, których pracodawcą są siły zbrojne Stanów Zjednoczonych. Odpowiedź Pentagonu, czyli brak wykrytych nadużyć i rok monitoringu kredytowego, to standardowy scenariusz korporacyjny dla wycieku danych konsumenckich.
Lekcja: zadośćuczynienie musi odpowiadać charakterowi danych, a tutaj tak nie jest. Monitoring kredytowy zbudowano po to, by szybko wykrywać oszustwa finansowe. Poważne ryzyko wynikające z tego naruszenia polega na tym, że obca służba może dysponować sortowalną listą trzech milionów osób powiązanych z wojskiem wraz z ich specjalnościami, a to problem kontrwywiadowczy, który nie generuje żadnych alertów w biurach kredytowych i nie ma daty wygaśnięcia. Nic w tej reakcji tego nie adresuje, bo nie istnieje produkt konsumencki, który mógłby to zrobić.
Druga lekcja jest węższa i dotyczy każdej organizacji przechowującej akta personalne. Napastnicy weszli przez system udostępniania plików, czyli dokładnie tę infrastrukturę, która stoi pomiędzy zespołami, gromadzi eksporty i zrzuty danych i nie należy właściwie do nikogo. Rzadko trafia do zakresu przeglądu bezpieczeństwa aplikacji, rzadko jest domyślnie szyfrowana i rutynowo przechowuje najbardziej wrażliwe dane w organizacji, bo ktoś musiał je komuś przesłać.
Dwa pytania warte zadania: co w tej chwili leży na Twoich systemach udostępniania plików i czy zauważyłbyś, gdyby ktoś czytał to od zeszłej jesieni?
