Una brecha de seguridad en el Centro de Datos de Defensa del Pentágono expuso información personal altamente sensible de más de tres millones de personas, con usuarios no autorizados pudiendo acceder a archivos vulnerables durante meses antes de que se descubriera el problema.
El incidente afectó aproximadamente a 2,76 millones de personas vivas y a otras 294.000 personas fallecidas. El Centro de Datos de Personal de Defensa, conocido como DMDC, mantiene información de personal que abarca una amplia gama de personas vinculadas al ejército estadounidense.
La información expuesta variaba entre individuos, pero incluía números de la Seguridad Social, nombres, fechas de nacimiento e información de contacto. Algunos archivos también contenían detalles demográficos e información del personal militar, incluyendo especialidades ocupacionales. Los archivos afectados no estaban cifrados.
Según las notificaciones de brecha, el problema se originó en una vulnerabilidad de seguridad en un sistema de compartición de archivos DMDC. Los investigadores determinaron que un pequeño número de usuarios no autorizados había estado accediendo a archivos en el servidor afectado desde octubre de 2025.
El DMDC descubrió la vulnerabilidad el 16 de julio de 2026, lo que significa que el acceso no autorizado pudo haber continuado durante aproximadamente nueve meses. La agencia afirma que actualizó inmediatamente el sistema de intercambio de archivos para cerrar la vulnerabilidad de seguridad y restauró el sistema tras tomar medidas correctivas.
El Pentágono no ha identificado públicamente a las personas responsables de acceder a los archivos. Los funcionarios tampoco han explicado si la intrusión formó parte de un ciberataque organizado, una operación de espionaje u otra forma de actividad no autorizada. Actualmente, no hay pruebas de que la información personal expuesta haya sido mal utilizada, según funcionarios de defensa.
La magnitud del incidente es especialmente significativa porque el DMDC actúa como una fuente central de información sobre el personal para el Departamento de Defensa. Sus bases de datos contienen más de 60 millones de registros asociados a miembros del servicio activo y de reserva, empleados civiles, contratistas, jubilados, veteranos y familiares militares.
La inclusión de información ocupacional añade otra dimensión a la brecha. Más allá de los riesgos de robo de identidad que crean los números de la Seguridad Social y los datos personales expuestos, la información que describe los roles militares podría revelar potencialmente más sobre la conexión de una persona con el Departamento de Defensa.
A las personas cuya información se vio afectada se les ofrece 12 meses de servicios de monitorización crediticia y restauración de identidad a través de IDX.
El DMDC también ha iniciado sus procedimientos de respuesta a incidentes de privacidad y ciberseguridad y afirma que está tomando medidas adicionales para reforzar la seguridad del entorno afectado.
La cifra final es inferior a una estimación anterior que indicaba que aproximadamente cuatro millones de miembros del Departamento de Defensa podrían haberse visto afectados. La información más reciente de un funcionario de defensa estadounidense sitúa el alcance confirmado en algo más de tres millones de personas vivas y fallecidas, mientras que las preguntas sobre quién accedió al sistema y por qué siguen sin respuesta.