Пентагонът уведомява милиони военнослужещи и други засегнати лица за мащабен пробив в системата за управление на човешките ресурси, при който нападатели са получили достъп до чувствителна лична информация. Инцидентът е свързан с уязвимост във файловите системи за споделяне на данни на Defense Manpower Data Center (DMDC).
Според изпратените уведомления неоторизиран достъп е бил възможен между октомври 2025 г. и юли 2026 г. след експлоатиране на уязвимост в инфраструктурата.
Засегнати са над 3 милиона души
По данни, предоставени от представители на Пентагона пред Federal News Network, инцидентът засяга над 3 милиона души, сред които близо 2,8 милиона живи лица и приблизително 294 000 починали лица.
Обхватът на откраднатата информация е различен за отделните хора. Сред потенциално засегнатите данни са:
- имена и дати на раждане;
- номера на социалното осигуряване;
- информация за контакт;
- пол и расова принадлежност;
- данни, свързани с военния персонал.
Това превръща инцидента в сериозен риск не само за поверителността, но и за последваща злоупотреба с идентичност и социално инженерство. Комбинацията от идентификационни и служебни данни може да бъде особено ценна при целеви измами срещу настоящи и бивши служители на американското Министерство на отбраната.
DMDC съхранява десетки милиони записи
DMDC е създаден през 1974 г. и функционира като оперативен център, който поддържа над 60 милиона записа за военнослужещи, цивилни служители, контрактори, членове на семейства, пенсионери и ветерани.
Информацията се използва за различни държавни функции, включително удостоверяване на права и обезщетения, обучение и финансови дейности. Центърът също поддържа програми за персонала на Министерството на отбраната и извършва анализи по указание на ръководството на ведомството.
След откриването на уязвимостта DMDC е задействал процедури за реакция при инциденти, свързани с поверителността и защитата на информационните системи. От центъра посочват, че се извършва оценка на системата и се предприемат действия за подобряване на защитата.
На засегнатите лица се предоставят 12 месеца безплатен мониторинг на кредитната активност чрез услугата IDX. Записалите се трябва да направят това до 19 август 2027 г.
Данните могат да имат дългосрочна стойност за нападателите
Особеното при подобен инцидент е, че стойността на откраднатата информация не се изчерпва с непосредствената финансова злоупотреба. Данни като имена, дати на раждане, социалноосигурителни номера и информация за служебния статус могат да бъдат комбинирани с други публични или компрометирани бази данни.
За организации, които обработват големи масиви от персонални записи, случаят показва и друг важен проблем – файловите системи и споделените хранилища могат да се превърнат в критична точка за атака, дори когато основната бизнес система не е директно компрометирана.
Инцидентът идва на фона на друг мащабен пробив, за който групата ShinyHunters твърди, че е получила достъп до данни на ФБР чрез уязвимост тип zero-day в Oracle PeopleSoft. В този случай групата заяви, че е откраднала терабайти информация, включително имена, социалноосигурителни номера, домашни адреси и служебни назначения. Тези твърдения са отделни от инцидента в DMDC и не означават, че между двата случая има доказана връзка.
За бизнеса основният урок е ясен: защитата на личните данни трябва да обхваща не само основните приложения, но и файловите хранилища, механизмите за споделяне, достъпа на привилегировани потребители и всички свързани инфраструктурни компоненти.
