Pentágono confirma 9 meses de acesso não autorizado a 3 milhões de registros militares

O incidente do DMDC é uma falha de controle interno, não uma operação de ransomware ou extorsão. Não há ator reivindicando autoria, não há amostra de dados publicada em fórum, não há negociação. O que existe é um servidor de compartilhamento de arquivos que expôs PII não criptografado por nove meses antes de qualquer detecção — e foi descoberto pela vulnerabilidade, não pelo comportamento de acesso.

O ponto técnico mais grave não é a intrusão em si, mas o que ela pressupõe: dados de identidade de militares — SSN, especialidade ocupacional, dados demográficos — armazenados sem criptografia em repouso num servidor federal. Criptografia em repouso para essa classe de dado é exigência FISMA e prática elementar. A ausência dela não foi uma decisão técnica sofisticada do atacante; foi um controle que o DoD simplesmente não tinha no lugar. Isso é o que a Cybelangel e o compliancehub.wiki apontam com precisão: o breach não exigiu tradecraft avançado.

Sobre atribuição: o Pentágono não nomeou suspeitos. A CNN perguntou diretamente; o porta-voz não respondeu antes da publicação. O SecurityWeek confirma que nenhum grupo criminoso conhecido reivindicou o ataque. A inferência de APT circula em análises secundárias baseadas no dwell time de nove meses, mas dwell time longo também pode refletir exploração oportunista de uma vulnerabilidade de file-sharing — não necessariamente persistência deliberada de estado. Registrar essa inferência com confiança baixa é o correto.

O gap de 64 dias entre descoberta (16 jul) e notificação (18 set) é um segundo problema regulatório. O FISMA classifica brechas com PII de mais de 100 mil indivíduos como "major incident" e exige reporte ao Congresso em sete dias. O compliancehub.wiki documenta que esse ponto está "under scrutiny" — mas o DoD não respondeu publicamente sobre o cumprimento desse prazo. O fato de a história ter sido quebrada pela imprensa a partir de uma postagem no Reddit, e não por comunicado oficial, sugere que a estratégia de divulgação seguiu a mídia, não a precedeu.

O registro anterior mais comparável é o breach da OPM em 2015, que afetou 4,2 milhões de pessoas (depois expandido para 21,5 mi), foi atribuído à China e envolveu o mesmo tipo de dado — SSN + função. O DMDC tem 60 milhões de registros no total; os 3,054 milhões afetados representam cerca de 5% do repositório. Mas a sobreposição potencial com pessoal em teatro de operações, combinada com os alertas do CENTCOM sobre exploração de dados de localização por adversários no conflito com o Irã, eleva a classificação de risco contrainteligência além do que o volume percentual sugere.

Correção ao registro inicial: o país da vítima estava registrado como BR (Brasil), que é incorreto — a organização afetada é americana (DMDC/DoD, US). O setor estava em branco; é Governo/Defesa. O selo 'claimed' estava incorreto: o próprio Pentágono confirmou o incidente, portanto o correto é 'confirmed'. O veredito 'unverified' também estava incorreto: o incidente é real e confirmado por fonte primária (A/1).

Afetados: 2,76 milhões de pessoas vivas e 294 mil falecidas com vínculos às Forças Armadas dos EUA — militares ativos, reservistas, aposentados, veteranos, civis do DoD, contratados e familiares. Os dados expostos incluem SSN (equivalente ao CPF), nome, data de nascimento, informações de contato, sexo, raça e especialidade ocupacional militar. O DoD afirma não ter evidência de uso indevido até o momento e oferece 12 meses de monitoramento de crédito via IDX. O risco prático para os afetados vivos é duplo: (1) risco de fraude de identidade clássico, dado o SSN exposto; (2) risco contrainteligência para pessoal em funções sensíveis, cujo perfil de função pode agora ser cruzado com outros datasets por adversários.