Een beveiligingslek in het Defense Manpower Data Center van het Pentagon bracht zeer gevoelige persoonlijke informatie bloot van meer dan drie miljoen mensen, waarbij ongeautoriseerde gebruikers maandenlang toegang hadden tot kwetsbare bestanden voordat het probleem werd ontdekt.
Het incident trof ongeveer 2,76 miljoen levende personen en nog eens 294.000 overledenen. Het Defense Manpower Data Center, bekend als DMDC, houdt personeelsinformatie bij over een breed scala aan mensen die verbonden zijn aan het Amerikaanse leger.
De blootgestelde informatie verschilde per persoon, maar omvatte sofinummers, namen, geboortedata en contactgegevens. Sommige dossiers bevatten ook demografische gegevens en militair personeel, inclusief beroepsspecialisaties. De getroffen bestanden waren niet versleuteld.
Volgens meldingen over datalekken begon het probleem met een beveiligingslek in een DMDC-bestandsdelingssysteem. Onderzoekers stelden vast dat een klein aantal ongeautoriseerde gebruikers sinds oktober 2025 toegang had gehad tot bestanden op de getroffen server.
DMDC ontdekte de kwetsbaarheid op 16 juli 2026, wat betekent dat ongeautoriseerde toegang ongeveer negen maanden kan hebben voortgezet. De instantie zegt dat het onmiddellijk het bestandsdelingssysteem heeft bijgewerkt om de beveiligingslek te dichten en het systeem heeft hersteld na corrigerende maatregelen.
Het Pentagon heeft de verantwoordelijken voor de toegang tot de bestanden niet publiekelijk bekendgemaakt. Functionarissen hebben ook niet uitgelegd of de inbraak deel uitmaakte van een georganiseerde cyberaanval, spionageoperatie of een andere vorm van ongeautoriseerde activiteiten. Er is momenteel geen bewijs dat de blootgestelde persoonlijke informatie is misbruikt, volgens defensiefunctionarissen.
De omvang van het incident is bijzonder belangrijk omdat DMDC dient als een centrale bron van personeelsinformatie voor het Ministerie van Defensie. De databases bevatten meer dan 60 miljoen gegevens die verband houden met actieve en reserveleden, burgerwerknemers, aannemers, gepensioneerden, veteranen en militaire familieleden.
De opname van beroepsinformatie voegt een extra dimensie toe aan het datalek. Naast de risico’s op identiteitsdiefstal die ontstaan door blootgestelde sofinummers en persoonlijke gegevens, kan informatie die militaire rollen beschrijft mogelijk meer onthullen over iemands connectie met het ministerie van Defensie.
Mensen van wie de gegevens zijn getroffen, krijgen via IDX een aanbod van 12 maanden kredietmonitoring en identiteitsherstel.
DMDC is ook gestart met haar privacy- en cybersecurity-incidentresponsprocedures en zegt extra stappen te nemen om de veiligheid van de getroffen omgeving te versterken.
Het definitieve cijfer is lager dan een eerdere schatting dat ongeveer vier miljoen personeelsleden van het ministerie van Defensie getroffen kunnen zijn. De laatste informatie van een Amerikaanse defensiefunctionaris plaatst de bevestigde omvang op iets meer dan drie miljoen levende en overleden personen, terwijl vragen over wie toegang heeft gehad tot het systeem en waarom onbeantwoord blijven.