Un oficial al apărării americane a confirmat, în declarații citate de ABC News, că un sistem informatic al Defense Manpower Data Center (DMDC) a suferit un acces neautorizat la informații personale, produs de „un număr mic de utilizatori neautorizați” între octombrie 2025 și iulie 2026. Potrivit scrisorii de notificare analizate de Military Times, vulnerabilitatea a fost descoperită pe 16 iulie, într-un sistem de partajare de fișiere, și a fost corectată.
Cifrele oficiale, comunicate de același oficial: aproximativ 2,76 milioane de persoane în viață și 294.000 de persoane decedate. O estimare anterioară, atribuită de Military Times unor surse apropiate de caz, vorbea de aproximativ patru milioane și era descrisă ca neclară. Cifra de peste trei milioane este cea a departamentului; cea de patru milioane rămâne o estimare depășită.
Ce este confirmat și ce nu
- Confirmat oficial: acces neautorizat la un sistem DMDC, de către un număr mic de utilizatori, între octombrie 2025 și iulie 2026; vulnerabilitatea a fost remediată la descoperire.
- Confirmat prin scrisoarea de notificare (Military Times): vulnerabilitatea era într-un sistem de partajare de fișiere, descoperită pe 16 iulie. Scrisoarea analizată a fost trimisă pe 18 septembrie unei persoane ale cărei date se aflau în fișierele afectate — nu este o dată de notificare valabilă pentru toți cei afectați.
- Datele expuse: numărul de asigurare socială plus cel puțin o altă informație de identificare, precum nume, dată de naștere, date de contact, sex, rasă sau informații de personal militar, inclusiv specialitatea ocupațională. Tipul de date diferă de la persoană la persoană.
- Raportat de Federal News Network: datele erau necriptate. Departamentul nu a confirmat și nu a infirmat.
- Protecție oferită: 12 luni de monitorizare a creditului și servicii de refacere a identității, prin IDX.
- Poziția curentă a departamentului: nicio indicație că datele ar fi fost folosite abuziv. Formularea este „deocamdată” — nu o concluzie definitivă.
- Necunoscut: cine a avut acces, natura tehnică a vulnerabilității, rezultatele investigației și dacă există alte vulnerabilități similare.
Trei intervale care merită puse pe hârtie
- Octombrie 2025 – 16 iulie 2026: accesul neautorizat, pe aproape zece luni. Nu vorbim de o intruziune de o noapte, ci de prezență liniștită, repetată.
- 16 iulie – 18 septembrie: aproximativ două luni între descoperire și data scrisorii analizate. Pentru un incident cu milioane de persoane, este un ritm normal de investigare și de pregătire a notificărilor, nu neapărat o întârziere, dar este intervalul în care oamenii nu știau.
- 18 – 28 septembrie: informația ajunge treptat în presă și apar cifrele oficiale.
Primul interval este cel care contează pentru orice echipă: ce ar fi trebuit să vă spună, în lunile acelea, că cineva folosește sistemul altfel decât de obicei?
Întrebarea la care nu s-a răspuns, aplicată la tine
Sistemele de partajare de fișiere au o proprietate comună în aproape toate organizațiile: sunt create pentru un scop îngust, apoi devin depozit de fapt. Cineva pune acolo un export „ca să-l trimit mâine”, iar exportul rămâne. Peste doi ani, directorul conține date pe care nimeni nu le-a decis, nu le-a clasificat și nu le va șterge.
- Ce date personale sau sensibile se află, chiar acum, pe sistemele voastre de partajare și de transfer de fișiere? Nu ce ar trebui să fie acolo — ce este.
- Cine este responsabilul nominal al fiecărui astfel de sistem? O persoană, nu un departament.
- De cât timp se află fiecare fișier acolo și există o regulă scrisă de ștergere?
- Sunt datele criptate în repaus? Dacă răspunsul este „cred că da”, tratează-l ca pe un nu, până se verifică.
- Cine se uită la jurnalele de acces și după ce criteriu s-ar observa un utilizator care descarcă mult mai mult decât de obicei, în ultimele șase luni?
- Dacă mâine ați afla că cineva a avut acces zece luni, ați putea spune ce persoane sunt vizate? Adică aveți un inventar al conținutului?
Partea despre notificare, care rămâne a oamenilor
O notificare de breșă și o ofertă de monitorizare a creditului sunt, prin natura lor, mesaje pe care destinatarul este nevoit să le deschidă, să le creadă și să acționeze pe baza lor. Sunt și mesaje pe care un atacator le poate imita ușor. Sursele citate nu spun că vreo campanie de acest fel ar exista în legătură cu acest incident, iar articolul nu susține asta. Dar comportamentul de verificare se poate învăța înainte de a fi nevoie.
- Nu accesa linkul din scrisoare sau din email. Caută separat, prin propriul browser, site-ul organizației care a notificat, și intră de acolo.
- Nu suna numărul din mesaj. Folosește un număr pe care îl știi deja sau pe care îl găsești prin surse independente.
- Nu oferi date personale prin telefon unei persoane care te-a sunat ea, nu tu. Dacă o înscriere reală cere date de identificare, o faci tu, pe un canal pe care l-ai găsit singur, nu într-un apel sau într-un mesaj primit.
- Dacă oferta de monitorizare este reală, o poți accesa oricând prin canalul pe care l-ai verificat tu. Nu există un termen care să justifice graba.
- Dacă ești în Statele Unite sau ai colegi acolo: potrivit FTC, înghețarea creditului este gratuită, durează până o ridici tu și se cere celor trei birouri de credit (Equifax, Experian, TransUnion); o alertă inițială de fraudă este gratuită, durează un an și se cere unui singur birou.
Recomandarea de a nu folosi linkul sau numărul din mesaj este cea standard în materialele de awareness. Este formulată aici ca recomandare proprie, nu atribuită FTC.
Ce ar trebui să facă organizația care notifică
- Notificarea trebuie să poată fi verificată de destinatar fără a folosi vreun link din ea: un nume clar al organizației, un număr sau o adresă publice, care se găsesc și pe alte canale.
- Spune ce anume s-a întâmplat și ce nu se știe încă. O formulare vagă îi face pe oameni să caute detalii în altă parte, adică exact unde apar imitațiile.
- Pregătește echipa de suport. Primele zile aduc întrebări: „e real mesajul?”, „ce date aveți despre mine?”. Fără răspunsuri pregătite, fiecare agent improvizează.
- Spune clar, în notificare, ce date va cere înscrierea la serviciul oferit și pe ce canal se face. Un serviciu de monitorizare poate cere date de identificare; destinatarul trebuie să știe dinainte ce este normal, ca să poată observa ce nu este.
Exercițiul: 45 de minute
Cu IT, securitate, juridic, resurse umane și cineva din conducere. Alegeți un singur sistem real de partajare sau transfer de fișiere. Pentru fiecare etapă cereți decizia, responsabilul, termenul și dovada.
- Injectul 1 — vi se spune că cineva a avut acces șase luni la acest sistem. Ce conține el, concret? Cine poate răspunde în 30 de minute, fără să deschidă fișierele unul câte unul?
- Injectul 2 — aflați că printre fișiere se află exporturi cu date personale ale angajaților și ale clienților, necriptate. De ce sunt acolo și cine a decis? Dacă nimeni nu știe, notați asta ca rezultat.
- Injectul 3 — trebuie să anunțați persoanele afectate, dar nu știți exact care sunt. Cum reduceți incertitudinea și ce spuneți în comunicarea inițială, fără să promiteți o cifră pe care nu o puteți susține?
- Injectul 4 — un angajat vă trimite un mesaj care pretinde a fi „notificarea oficială” și cere înscrierea la un serviciu de protecție. Cum aflați dacă este a voastră sau nu, și cine răspunde angajatului?
Ce măsori
- Numărul de sisteme de partajare și transfer de fișiere cunoscute, comparat cu numărul celor găsite efectiv în rețea.
- Procentul dintre ele care au un responsabil nominal și o regulă scrisă de retenție.
- Câte conțin date personale necriptate, măsurat printr-un control efectiv, nu prin declarații.
- Timpul necesar pentru a răspunde la întrebarea „ce persoane sunt în acest sistem”, cronometrat în exercițiu.
- Numărul de luni pentru care păstrați jurnale de acces utilizabile pentru astfel de sisteme.
- Procentul de angajați care aleg calea corectă de verificare a unei notificări simulate.
Ce nu susțin sursele: nu se afirmă că datele ar fi fost folosite abuziv, nu se atribuie intruziunea, nu se descrie vulnerabilitatea și nu se menționează personal din România sau din Uniunea Europeană. Articolul nu analizează obligații legale din Statele Unite sau din Europa și nu susține că vreun produs asigură conformitatea. Lecția este mai simplă: o organizație care nu poate spune ce se află într-un sistem nu poate nici să îl protejeze, nici să spună cui i-a greșit.