DMDC expõe SSNs de 3 milhões por 9 meses sem criptografia

O incidente é classificado como exposição por falha em sistema interno (misconfiguration/vulnerability em plataforma de compartilhamento de arquivos), não como ataque de ransomware nem como vazamento revindicado publicamente por ator de ameaça. O DMDC não identificou o produto específico afetado nem o mecanismo técnico da vulnerabilidade — isso é uma lacuna relevante que o próprio TechCrunch tentou esclarecer sem sucesso.

O número de 4 milhões, amplamente repetido na cobertura inicial, veio de duas fontes anônimas citadas pelo Military Times em 24 de setembro. Seis dias depois, um oficial nomeado do DoD confirmou à CNN e à ABC News os números de 2,76 milhões de vivos e 294 mil falecidos — reduzindo em cerca de 950 mil a estimativa original. Este é o padrão clássico de 'inflated': o número inicial não confirmado é maior que o oficial. O registro foi ajustado de 'unverified' para 'confirmed/inflated'.

A cobertura brasileira merece atenção crítica. Pelo menos dois veículos nacionais (Tribuna do Agreste, reproduzindo Sputnik Brasil; e Boa Informação) publicaram que o vazamento incluía 'dados de agentes do FBI em unidades secretas de China e Rússia'. Essa informação é oriunda de um incidente completamente diferente: o breach do portal FBIJobs.gov reivindicado pelo grupo ShinyHunters em 22 de setembro de 2026, que envolveu Oracle PeopleSoft e teve ator identificado. Os dois incidentes ocorreram na mesma semana, são ambos de agências federais americanas, mas não têm relação técnica ou de ator entre si. A confusão entre os dois é desinformação por omissão — não há evidência de que o DMDC armazene dados de agentes do FBI.

O registro inicial do Vexday continha dois erros materiais: (1) país listado como 'BR' quando a vítima é uma agência federal dos EUA; (2) setor em branco. Ambos foram corrigidos. A data de alegação/anúncio de '2026-09-30' corresponde à publicação do BoletimSec — o incidente em si foi tornado público em 24 de setembro pelo Military Times e confirmado pelo DoD em 29 de setembro.

O risco de contraespionagem é o ângulo mais relevante que a cobertura comercial subestima. O DMDC não é apenas um banco de RH: é o provedor de identidade do Pentágono, responsável por vincular militares ativos, civis e contratados a credenciais de acesso a sistemas e instalações. Dados de especialidade militar (MOS/AFSC) combinados com SSN, endereço residencial e informações demográficas criam um perfil operacional suficiente para abordagem por inteligência estrangeira — o mesmo padrão que tornou o breach da OPM em 2015 uma das piores exposições de segurança nacional da história americana. A diferença de escala (3 milhões vs. 21 milhões no OPM) não diminui o risco; diminui o volume.

Aproximadamente 3,054 milhões de indivíduos com vínculo ao Departamento de Defesa dos EUA — incluindo militares ativos, reservistas, veteranos, civis, contratados e familiares — tiveram dados pessoais sensíveis expostos, incluindo números de Previdência Social (SSN) não criptografados. O DoD está oferecendo um ano de monitoramento de crédito e serviços de restauração de identidade via IDX. A carta de notificação já está pública no Reddit, o que cria vetor secundário de phishing direcionado a militares e veteranos usando o próprio modelo oficial como isca. Não há confirmação de uso indevido dos dados até o momento, mas o DoD não explicou a metodologia que sustenta essa afirmação.