نشت گسترده داده‌ها در پنتاگون: دسترسی غیرمجاز به اطلاعات حساس ۳ میلیون نفر

پنتاگون وقوع یک نشت داده (Data Breach) گسترده در سیستم‌های اطلاعاتی مرکز داده نیروی انسانی دفاعی (DMDC) را تأیید کرد. در این حادثه، اطلاعات شخصی و حساس بیش از ۳ میلیون نفر افشا شده است.

بر اساس گزارش‌ها، این اتفاق منجر به دسترسی غیرمجاز به داده‌های ۲.۷۶ میلیون فرد زنده و حدود ۲۹۴ هزار نفر از متوفیان شده است که یکی از حیاتی‌ترین مخازن اطلاعات پرسنلی وزارت دفاع ایالات متحده را در معرض خطر قرار داده است.

جزئیات فنی و علت رخ دادن حادثه

مقامات دفاعی اعلام کردند که تعداد محدودی از کاربران غیرمجاز بین اکتبر ۲۰۲۵ تا جولای ۲۰۲۶ به سیستم DMDC دسترسی پیدا کرده‌اند. این نفوذ به دلیل وجود یک آسیب‌پذیری (Vulnerability) در سیستم اشتراک فایل (File-sharing system) رخ داده که به مهاجمان اجازه داده است به فایل‌های ذخیره شده روی یک سرور آسیب‌دیده دسترسی یابند.

مرکز DMDC در تاریخ ۱۶ جولای متوجه این نقص شده و بلافاصله اقدام به اعمال وصله (Patch)، بازیابی سیستم و اجرای پروتکل‌های پاسخ به حوادث (Incident Response) سایبری و حریم خصوصی نموده است.

ماهیت داده‌های افشا شده و ریسک‌های امنیتی

فایل‌های لو رفته حاوی اطلاعات شناسایی شخصی (PII) بدون رمزنگاری بوده‌اند. بسته به هر فرد، این رکوردها شامل موارد زیر است:

• نام و شماره تأمین اجتماعی (SSN)
• تاریخ تولد و جزئیات تماس
• جنسیت، نژاد و داده‌های پرسنلی نظامی (مانند تخصص‌های شغلی)

ترکیب این اطلاعات بسیار حساس است زیرا شماره‌های تأمین اجتماعی و جزئیات بیوگرافی می‌توانند زمینه‌ساز سرقت هویت (Identity Theft)، ایجاد حساب‌های جعلی، حملات فیشینگ (Phishing) هدفمند و جعل هویت شوند. همچنین، اطلاعات مربوط به مشاغل نظامی می‌تواند ارزش ضدجاسوسی (Counterintelligence) داشته باشد و به عوامل تهدید کمک کند تا پرسنل در نقش‌های حساس را شناسایی و پروفایل‌بندی کنند.

چالش‌های عملیاتی و امنیتی

یکی از نگرانی‌های اصلی، بازه زمانی طولانی نفوذ است. دسترسی غیرمجاز تقریباً به مدت ۹ ماه پیش از شناسایی آسیب‌پذیری ادامه داشته است که این موضوع عدم قطعیت زیادی درباره حجم اطلاعات جمع‌آوری شده توسط مهاجمان ایجاد می‌کند.

پنتاگون هنوز هویت کاربران غیرمجاز، انگیزه‌های آن‌ها و دلیل ذخیره‌سازی فایل‌های حساس بدون رمزنگاری (Encryption) را اعلام نکرده است. اگرچه مقامات می‌گویند شواهدی از سوءاستفاده از این داده‌ها یافت نشده، اما ریسک‌های بلندمدت به دلیل غیرقابل تغییر بودن شماره‌های تأمین اجتماعی و تاریخ تولد همچنان پابرجاست.

توصیه‌ها و اقدامات اصلاحی

در حال حاضر، به افراد آسیب‌دیده خدمات رایگان نظارت بر اعتبار و بازیابی هویت ارائه می‌شود. این حادثه بر ضرورت پیاده‌سازی استراتژی‌های زیر تأکید می‌کند:

• رمزنگاری داده‌ها در حالت استراحت (Encryption at Rest)
• کنترل‌های دسترسی سخت‌گیرانه‌تر (Tighter Access Controls)
• مانیتورینگ مستمر دسترسی به فایل‌ها و شناسایی سریع ناهنجاری‌ها (Anomaly Detection)
• سیاست‌های سخت‌گیرانه در مورد کمینه‌سازی داده‌ها (Data Minimization)