DMDC expõe militares com dados não criptografados por nove meses

O incidente DMDC 2026 é um caso de exposição prolongada por vulnerabilidade em sistema interno — não um ataque ransomware, não uma reivindicação de grupo criminoso. O ator é desconhecido; o dano, confirmado. Isso importa metodologicamente: os ângulos que dominam a cobertura ("quem invadiu?") secundarizam o ângulo estruturalmente mais grave ("por que dados de pessoal militar estavam sem criptografia em um sistema de compartilhamento de arquivos acessível por nove meses?").

O que a organização confirma: a própria carta de notificação do DMDC — cuja autenticidade foi verificada por dois oficiais de defesa ao Military Times — admite que uma "vulnerabilidade de segurança" em um file-sharing system permitiu acesso não autorizado. Os dados acessados incluíam, ao menos para o destinatário da carta revisada, SSN, nome, data de nascimento, informações de contato, sexo, raça e especialidade ocupacional militar. O DMDC atualizou o sistema para corrigir a vulnerabilidade e afirma não ter indicações de uso indevido dos dados.

O que permanece não confirmado: o número de afetados. A cifra de 4 milhões vem de fontes citadas pelo Military Times — não de declaração oficial do DoD ou do DMDC, que não responderam a perguntas sobre a extensão. Esse número deve ser tratado como estimativa, não como fato confirmado. O universo total do DMDC (mais de 60 milhões de registros) não equivale ao número de afetados; nenhuma evidência pública estabelece que todos os registros foram acessados.

Há um conflito factual relevante que a maioria da cobertura não endereçou: a plataforma Govly descreve os dados como "encrypted PII", enquanto a carta de notificação do DMDC revisada pela CNN afirma explicitamente que os dados roubados "não eram criptografados". As fontes primárias (a carta, confirmada por dois oficiais) sustentam a versão da ausência de criptografia. A descrição da Govly parece erro de interpretação ou dado incorreto — mas o conflito precisa ser registrado e resolvido por declaração oficial do DoD.

A ausência de atribuição formal é informação, não lacuna superficial. Nenhuma agência federal identificou publicamente o ator — nem sinalizou que se tratou de Estado-nação, grupo criminoso ou insider. O perfil do acesso (coleta silenciosa de PII estruturada por nove meses, sem evidência de exfiltração massiva ou publicação) é consistente com operação de inteligência, mas isso é inferência analítica de baixa confiança, não conclusão.

O paralelo com o breach do OPM em 2015 é operacionalmente relevante: naquele caso, SSNs e fichas de investigação de segredo foram usados para identificar agentes de inteligência. A diferença aqui é que os dados incluem "especialidade ocupacional" — o que, cruzado com SSN e dados comerciais disponíveis, pode permitir a adversários estrangeiros mapear funções e localizações de pessoal do DoD globalmente. Esse risco de agregação foi articulado por Justin Sherman (Global Cyber Strategies) e pelo U.S. Central Command, que já havia alertado legisladores sobre exploração adversária de dados de localização comercial.

A notificação foi enviada a partir de 18 de setembro — mais de dois meses após a descoberta em 16 de julho. O prazo entre remediação e notificação não foi explicado publicamente. Em incidentes envolvendo PII de pessoal militar, essa janela tem implicações práticas de contra-inteligência: durante esse período, os afetados não podiam tomar medidas defensivas.

Militares ativos, ex-militares, reservistas e possivelmente dependentes e contratistas do DoD tiveram SSNs, dados pessoais e especialidades ocupacionais expostos por aproximadamente nove meses. A cifra de 4 milhões de potencialmente afetados é estimativa não oficializada — o número real pode ser menor ou maior. O DMDC oferece monitoramento de crédito por um ano aos afetados identificados. Não há evidência pública de uso indevido dos dados até o momento. O risco operacional concreto é de agregação: SSNs combinados com especialidades militares e datasets comerciais permitem identificar e potencialmente rastrear ou coagir pessoal do DoD — risco que persiste independentemente de os dados terem sido ativamente explorados até agora.