Утечка данных Пентагона затронула около 2,8 млн живых действующих и бывших военнослужащих США, а также почти 300 тыс. умерших людей из военных реестров. Для русскоязычной IT-аудитории это не просто еще одна история про взлом за океаном: под ударом оказалась инфраструктура идентификации, льгот и доступа, то есть ровно тот слой, который в больших организациях часто считается скучным, пока не становится критичным.
По данным TechCrunch, Министерство обороны США начало уведомлять нынешних и бывших сотрудников и военнослужащих о краже персональных данных из систем Defense Manpower Data Center, или DMDC. Это подразделение ведет кадровые записи для военных, гражданского персонала Минобороны и членов их семей. В уведомлении о взломе говорится, что несколько неавторизованных пользователей использовали уязвимость в неназванной системе обмена файлами с октября 2025 года до середины июля 2026-го.
Скомпрометированные записи включали имена, даты рождения, пол, расу, номера социального страхования и сведения о военной службе. Важная деталь для всех, кто хоть раз участвовал в обсуждении «надо ли шифровать данные в покое»: в уведомлении сказано, что записи не были зашифрованы. Это превращает инцидент из неприятного события в почти учебный пример того, как один файловый контур может стать входом в массив данных, ценность которого не уменьшается годами.
DMDC не выглядит как бренд, который обсуждают на конференциях по безопасности, но его роль внутри американского Минобороны куда серьезнее, чем у очередной внутренней базы. Центр хранит свыше 60 млн записей, которые используются для подтверждения прав на медицинские, пенсионные и другие льготы. Кроме того, он работает как один из ключевых поставщиков identity management для военного ведомства: связывает военнослужащих, сотрудников и подрядчиков с учетными данными, смарт-картами, паролями и доступом к системам, зданиям и базам.
Именно поэтому утечка данных Пентагона неприятна не только масштабом. Номер социального страхования в США нельзя просто перевыпустить как пароль, дата рождения не меняется после ротации ключей, а сведения о службе могут использоваться для профилирования. Для обычной компании это был бы риск фишинга, мошенничества и атак на сотрудников. Для оборонного ведомства добавляется контрразведывательный слой: кто где служил, с чем был связан, кого можно попытаться выманить на контакт или шантажировать.
Министерство обороны заявило, что у него нет признаков злоупотребления похищенной информацией. Но ведомство, по опубликованным данным, не объяснило, как именно пришло к такому выводу. Для специалистов по безопасности это знакомая формула: отсутствие подтвержденного использования данных не равно отсутствию риска. Особенно когда речь идет не о токенах доступа с коротким сроком жизни, а о персональных идентификаторах и биографических данных.
Инцидент вписывается в более широкий ряд атак на данные федеральных сотрудников США. В сентябре сообщалось о взломе, затронувшем ФБР; его связывали с группировкой ShinyHunters. Хакеры утверждали, что получили данные большинства агентов, сотрудников и кандидатов в бюро. Ранее, в 2015 году, крупный взлом Office of Personnel Management привел к краже записей более чем 22 млн госслужащих США, многие из которых имели допуски к секретной информации. Тот инцидент широко связывали с Китаем.
Для разработчиков и архитекторов вывод здесь довольно приземленный. Файлообменник, кадровая система, каталог идентификации и база льгот не должны жить в логике «внутреннее, значит доверенное». Нужны сегментация, шифрование записей, контроль выгрузок, нормальная телеметрия по массовому чтению данных и регулярное закрытие дыр в продуктах, которые выглядят периферийными. Самый дорогой актив часто лежит не в модном облачном сервисе, а в старой системе, которую все боятся трогать, потому что она «работает».
Бизнесу эта история тоже знакома, даже если у него нет военных баз и смарт-карт. HR-архивы, системы льгот, базы подрядчиков, CRM с паспортными данными и внутренние файловые порталы накапливают персональные сведения годами. Когда такой массив уходит наружу, PR-служба может написать аккуратное уведомление, но инженерам потом приходится жить с последствиями: усиленный фишинг, запросы регуляторов, аудит подрядчиков, пересмотр прав доступа и неприятные вопросы к тому, почему чувствительные записи лежали без шифрования.
Утечка данных Пентагона показывает, что атаки на государственные кадровые реестры становятся не разовыми охотничьими трофеями, а повторяемым сценарием. Следующий важный вопрос уже не в том, кто именно взломал DMDC, а в том, сколько организаций по-прежнему защищают персональные архивы так, будто они менее ценны, чем production-база с пользовательскими сессиями.
