Pentagono: dati personali di oltre 3 milioni di persone esposti in un sistema di condivisione file del DMDC
Il Defense Manpower Data Center (DMDC), l'ente del Dipartimento della Difesa americano che gestisce i dati del personale, ha comunicato in una lettera di notifica del 18 settembre 2026 che una vulnerabilità in un suo sistema di condivisione file ha permesso a utenti non autorizzati di accedere a dati personali non cifrati. Secondo un funzionario non nominato le persone coinvolte sono circa 3 milioni. Qui trovi i fatti, le fonti e ciò che non si sa.
Scheda aggiornata al 6 novembre 2026 In corso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: da ottobre 2025 a luglio 2026 · Ultimo controllo delle fonti: 6 novembre 2026
- Scheda creata sulla base di sette articoli pubblicati tra il 24 settembre e il 1° ottobre 2026. Non abbiamo letto la lettera di notifica né un comunicato del Pentagono: nelle fonti lette non risultano pubblicati, e le dichiarazioni sono quelle riprese dalla stampa. Le cifre vengono da un funzionario non nominato. La scheda sarà ricontrollata ogni settimana.
Tre cose da sapere
Che cosa è successo
Secondo la lettera di notifica, tra ottobre 2025 e il 16 luglio 2026 un piccolo numero di utenti non autorizzati ha avuto accesso a file di un sistema di condivisione file del DMDC. La vulnerabilità è stata scoperta il 16 luglio e corretta subito.
Che cosa ha comportato
Secondo un funzionario non nominato sono coinvolte circa 2,76 milioni di persone vive e 294.000 defunte. I dati comprendono il numero di previdenza sociale e almeno un altro dato personale, e non erano cifrati.
Che cosa non si sa
Chi abbia avuto accesso, se i file siano stati copiati e come sia stata sfruttata la vulnerabilità. Nelle fonti lette non c'è un comunicato ufficiale del Pentagono né una rivendicazione.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il DMDC ha scoperto il 16 luglio 2026 una vulnerabilità in un suo sistema di condivisione file. Secondo la lettera di notifica del 18 settembre, il sistema è stato subito aggiornato per correggerla e ripristinato. L'autenticità della lettera è stata verificata da Military Times con due funzionari della Difesa. | Dichiarato | [1] [2] [3] [5] |
| Secondo la lettera, l'accesso non autorizzato è avvenuto tra ottobre 2025 e la data della scoperta (circa nove mesi); a parlare è «un piccolo numero di utenti non autorizzati». | Dichiarato | [1] [2] [4] [5] [6] |
| Un funzionario della Difesa, non nominato, ha indicato circa 2,76 milioni di persone viventi e 294.000 defunte (circa 3,05 milioni in totale). Secondo Help Net Security, tra le persone viventi possono esserci anche familiari a carico. | Riportato dalla stampa | [2] [3] [4] [5] |
| Nel suo primo articolo Military Times, citando due persone informate dei fatti, aveva scritto che circa 4 milioni di persone della Difesa potevano essere coinvolte; la stessa testata precisava che la portata non era chiara. La cifra non è stata confermata da fonti ufficiali e le fonti successive danno cifre più basse. | Stima | [1] [7] |
| Dati coinvolti: il numero di previdenza sociale più almeno un altro dato tra nome, data di nascita, recapiti, sesso, razza e informazioni militari come la specialità professionale; i dati variano da persona a persona. Secondo la lettera erano non cifrati. | Riportato dalla stampa | [1] [2] [5] [6] |
| La lettera afferma che il DMDC non ha indicazioni di un uso improprio delle informazioni consultate. | Dichiarato | [2] [4] [5] |
| Il funzionario non ha risposto alle domande su chi abbia avuto accesso, se la violazione fosse intenzionale e perché i dati si trovassero su un sistema non cifrato; Help Net Security scrive che non è stato detto se i file siano stati copiati. | Riportato dalla stampa | [2] [4] |
| Il DMDC offre agli interessati 12 mesi di monitoraggio del credito e di assistenza per il ripristino dell'identità tramite la società IDX; secondo due fonti l'iscrizione va fatta entro il 19 agosto 2027. | Dichiarato | [3] [5] [6] |
| La notizia è stata pubblicata per prima da Military Times il 24 settembre 2026. Il 30 settembre l'associazione MOAA scriveva che non risultava alcun comunicato stampa ufficiale del Pentagono o del DMDC. | Riportato dalla stampa | [1] [7] |
| Nelle fonti lette non c'è alcuna rivendicazione né attribuzione ufficiale. Alcune testate ricordano un altro caso recente su dati federali americani, senza collegarlo a questo. | Riportato dalla stampa | [4] [5] [6] |
- Chi abbia avuto accesso ai file, se i dati siano stati copiati e quanto sia durato davvero l'accesso: la lettera indica solo un periodo.
- Che tipo di vulnerabilità fosse e come sia stata sfruttata.
- Il numero ufficiale di persone coinvolte: le cifre vengono da un funzionario non nominato, non da un comunicato.
- Se le persone indicate coincidano con i destinatari della lettera e se la lettera sia stata inviata a tutte.
- Perché i dati personali si trovassero su un sistema non cifrato e se la vulnerabilità fosse nota prima di luglio 2026.
- Se altri sistemi del DMDC siano stati coinvolti.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- I dati personali, e in particolare i numeri di identificazione, vanno cifrati anche nei sistemi interni di condivisione file: se qualcuno entra, trova meno da leggere.
- Tra l'inizio dell'accesso e la scoperta sono passati circa nove mesi: controllare con regolarità chi accede ai file permette di accorgersene prima.
- Chi riceve una lettera di questo tipo dovrebbe iscriversi al servizio di monitoraggio solo digitando direttamente l'indirizzo indicato nella lettera, senza seguire link ricevuti per e-mail.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Military Times | Military personnel data exposed in breach, agency warns | 24 settembre 2026 | Prima notizia: lettera di notifica, date, cifra di 4 milioni da fonti anonime. |
| [2] | Federal News Network | More than 3 million people affected by military data breach | 28 settembre 2026 | Cifre del funzionario, dati non cifrati, domande senza risposta. |
| [3] | TIME | What to Know About the Pentagon Breach Affecting Millions | 29 settembre 2026 | Date della lettera, cifre confermate dal funzionario, servizio IDX. |
| [4] | Help Net Security | Pentagon breach exposes personal data of more than 3 million people | 1 ottobre 2026 | Cifre, dati coinvolti, assenza di attribuzioni, familiari a carico. |
| [5] | Security Affairs | Three Million Affected in Pentagon Personnel Agency Data Breach | 29 settembre 2026 | Testo della lettera, periodo di accesso, scadenza dell'iscrizione al servizio IDX. |
| [6] | BleepingComputer | Hackers stole Pentagon personnel records of over 3 million people | 1 ottobre 2026 | Periodo di accesso, dati coinvolti, offerta di monitoraggio. |
| [7] | MOAA | Pentagon Data Breach Could Impact Millions: What You Should Know | 30 settembre 2026 | Assenza di un comunicato ufficiale al 30 settembre; confronto tra le cifre. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi dei supermercati: nuova ondata di attacchi in Belgio, Svezia, Estonia, Italia e altri Paesi europei · notte tra l'1 e il 2 novembre 2026
- Binance: incidente di sicurezza, prelievi sospesi e un impatto stimato di 6,3 miliardi di dollari · 29 ottobre 2026
- Cisco ASA e FTD: nuova falla della VPN SSL che riavvia il firewall, già sfruttata · 28 ottobre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto