Falha em sistema de arquivos expõe dados de mais de 3 milhões de pessoas ligadas ao Pentágono
Uma vulnerabilidade em uma plataforma de compartilhamento de arquivos permitiu que pessoas sem autorização acessassem documentos armazenados em um servidor do Defense Manpower Data Center (DMDC), órgão responsável pelo cadastro central de pessoal do Departamento de Defesa dos Estados Unidos. O incidente atingiu informações de mais de 3 milhões de indivíduos.
O DMDC reúne dados de mais de 60 milhões de pessoas vinculadas à área de defesa. Sua base inclui militares da ativa e da reserva, servidores civis, prestadores de serviço, aposentados, veteranos, familiares e outros grupos relacionados ao departamento.
Entre os arquivos acessíveis estavam informações sem criptografia, como nomes, números de Seguro Social, datas de nascimento, dados de contato, sexo, raça e registros funcionais. Nesse último grupo, havia dados sobre a especialidade militar de cada pessoa. A combinação de identificadores pessoais e informações profissionais pode aumentar o risco de fraudes e tentativas de engenharia social.
O período de exposição é um dos aspectos mais preocupantes do caso. De acordo com as informações divulgadas, o acesso indevido teria ocorrido entre outubro de 2025 e julho de 2026, permanecendo sem detecção por aproximadamente nove meses.
A falha foi identificada pelo DMDC em 16 de julho. Após a descoberta, o órgão corrigiu o problema, restabeleceu o sistema e iniciou os procedimentos previstos para responder a incidentes de privacidade e segurança cibernética.
As notificações às pessoas afetadas começaram em setembro, por meio de cartas datadas do dia 18 – cerca de dois meses após a identificação da vulnerabilidade. Os destinatários têm direito a um ano de monitoramento de crédito e de serviços de recuperação de identidade oferecidos pela IDX, empresa contratada para atender ao Departamento de Defesa.
Até o momento, não foram divulgadas informações sobre quem acessou os arquivos nem sobre a motivação da ação. Também não havia evidências públicas de que os dados expostos tivessem sido usados de forma indevida. A ausência de indícios de abuso, porém, não elimina a necessidade de cautela: informações pessoais podem ser armazenadas e exploradas muito tempo depois de uma invasão.
Quem receber uma notificação deve verificar se ela é legítima antes de fornecer qualquer dado adicional. É recomendável usar apenas os canais de contato descritos na correspondência oficial e desconfiar de mensagens inesperadas que peçam senhas, códigos de autenticação ou pagamentos para liberar serviços de proteção.
Também vale acompanhar extratos bancários e relatórios de crédito, além de ativar alertas para movimentações incomuns. Caso exista a possibilidade, a troca de senhas reutilizadas e a adoção de autenticação multifator ajudam a reduzir o risco de invasão de outras contas. Nenhuma dessas medidas impede todo tipo de fraude, mas pode facilitar a detecção rápida de atividades suspeitas.
Para organizações que armazenam dados sensíveis, o episódio reforça a importância de limitar o acesso aos arquivos ao mínimo necessário, manter registros de consulta e proteger as informações com criptografia. A revisão periódica das permissões e o monitoramento de sistemas de compartilhamento também podem ajudar a identificar comportamentos anormais antes que uma exposição se prolongue por meses.
Outro ponto essencial é reduzir a quantidade de dados mantida em cada ambiente. Quanto menor o volume de informações armazenadas sem necessidade, menor tende a ser o impacto caso uma falha permita acesso indevido. Planos de resposta claros, com etapas para corrigir o problema e avisar os afetados, são igualmente importantes para conter danos e orientar as pessoas sobre como se proteger.