Une fuite de données au Pentagone a mis des mois à être découverte et exposé des informations sensibles concernant 3 millions de personnes

Causée par une faille de sécurité du système du DMDC

Une faille dans un système de partage de fichiers du Centre de données sur les effectifs de la Défense (DMDC) a exposé les numéros de Sécurité sociale et d’autres informations personnelles de plus de 3 millions de personnes ayant des liens avec l’armée américaine, a déclaré un responsable du Pentagone. Ce chiffre comprend 2,76 millions de personnes vivantes et 294 000 personnes décédées. L’accès non autorisé aux données s’est étendu d’octobre 2025 jusqu’à ce que le DMDC découvre la faille le 16 juillet 2026. Une analyse menée après la découverte a révélé que les fichiers se trouvaient sur un serveur contenant des informations personnelles identifiables non chiffrées ; le DMDC a alors corrigé le système de partage de fichiers et l’a restauré.

Le Centre de données sur les effectifs de la Défense (DMDC), qui relève du Bureau du secrétaire à la Défense, est chargé de centraliser les données relatives au personnel, aux effectifs, à la formation, aux finances et à d’autres domaines pour le compte du ministère américain de la Défense. Ces données répertorient l’historique des militaires et de leur famille à des fins de couverture médicale, de financement de la retraite et d’autres besoins administratifs. Il dispose de bureaux à Seaside, en Californie, et à Alexandria, en Virginie.

Récemment, une faille dans un système de partage de fichiers du Centre de données sur les effectifs de la Défense (DMDC) a exposé les numéros de Sécurité sociale et d’autres informations personnelles de plus de 3 millions de personnes ayant des liens avec l’armée américaine, a déclaré un responsable du Pentagone. Ce chiffre comprend 2,76 millions de personnes vivantes et 294 000 personnes décédées.

Le DMDC se présente comme la source centrale du ministère de la Défense chargée d’identifier, d’authentifier et de fournir des informations sur le personnel pendant et après son passage au sein du ministère. Il gère les dossiers de plus de 60 millions de militaires, d’anciens combattants, d’employés civils actuels et anciens, de sous-traitants et de membres des familles des militaires, et supervise la vérification d’identité de chaque titulaire d’une carte d’identité du ministère de la Défense.

L’accès non autorisé aux données s’est étendu d’octobre 2025 jusqu’à ce que le DMDC découvre la faille le 16 juillet 2026. Une analyse menée après la découverte a révélé que les fichiers se trouvaient sur un serveur contenant des informations personnelles identifiables non chiffrées ; le DMDC a alors corrigé le système de partage de fichiers et l’a restauré. Le responsable a indiqué qu’un « petit nombre d’utilisateurs non autorisés » y avait eu accès.


La lettre de notification adressée à l’une des personnes concernées indiquait que le numéro de Sécurité sociale du destinataire avait été exposé, ainsi qu’au moins un autre identifiant. Ces identifiants comprennent le nom, la date de naissance, les coordonnées, le sexe, l’origine ethnique ou des informations relatives au personnel militaire, telles que la spécialité professionnelle. Le responsable a précisé que le type de données variait d’une personne à l’autre.

Le DMDC a envoyé cette lettre le 18 septembre, et deux responsables de la Défense ont confirmé son authenticité. L’incident a été rendu public le 24 septembre dans un article consacré à cette lettre, qui citait deux personnes proches du dossier estimant qu’environ 4 millions de membres du personnel du ministère de la Défense pourraient être concernés. Le responsable a refusé de préciser qui avait accédé aux données ou si la violation était intentionnelle. Il a également refusé d’indiquer si les personnes concernées appartenaient à un groupe particulier ou pourquoi ces informations personnelles étaient stockées sur un serveur non chiffré.

Dans son communiqué, le DMDC a déclaré avoir « immédiatement mis en place des mesures d’intervention en cas d’incident lié à la confidentialité et à la cybersécurité » et prendre « les mesures appropriées pour évaluer et renforcer la sécurité informatique du système du DMDC ». Le responsable a indiqué qu’aucun élément ne permettait de penser que les informations de qui que ce soit aient fait l’objet d’une utilisation abusive. IDX, une société spécialisée dans les services de gestion des fuites de données et de récupération engagée par le ministère de la Défense, fournira pendant 12 mois des services de surveillance du crédit et de rétablissement d’identité.

Un responsable du Pentagone a déclaré le 3 septembre qu’il n’y avait aucune indication d’acte malveillant ni que ce problème de dossiers avait permis une fuite de données. La Commission fédérale du commerce (FTC) précise que toute personne peut demander gratuitement un gel de son dossier de crédit en contactant chacune des trois agences de crédit. Un gel restreint l’accès au dossier de crédit d’une personne et rend plus difficile l’ouverture de nouveaux comptes à son nom.

Le DMDC a également consacré l’année à corriger les dossiers d’identité d’environ 215 000 militaires en service actif et réservistes, soit environ 10 % des effectifs. En août, ces militaires n’étaient plus en conformité avec les règles relatives à la détention d’une carte d’accès commune (Common Access Card), qui permet d’accéder aux installations militaires et aux réseaux informatiques, car leurs dossiers ne comportaient pas de copies numériques de leurs pièces d’identité. En janvier, le DMDC avait signalé à chaque branche de l’armée l’absence de ces justificatifs d’identité.

Ce mois de septembre, une cyberattaque majeure avait déjà visé le portail « FBIJobs.gov » et entraîné la fuite des données personnelles de milliers d'employés de l'agence. Parmi les victimes figurent des membres de l'unité de piratage d'élite du FBI, ou Remote Operations Unit, dont l'identité était jusqu'ici tenue secrètes. Les informations divulguées incluent des adresses résidentielles, des numéros de téléphone et des détails sur les conjoints, posant un risque grave pour la sécurité nationale. Certains observateurs y voient aussi une conséquence désastreuse des politiques d'austérité déployées par Donald Trump via le DOGE, accusé d'avoir démantelé les défenses cybernétiques des États-Unis.

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Le piratage des télécommunications aux USA prouve qu'installer des portes dérobées « uniquement à usage des forces de l'ordre » est absurde. Les experts en sécurité avaient pourtant tiré la sonnette d'alarme

« Nous avons piraté le FBI » : des hackers affirment détenir des données sur tous les employés du FBI après avoir compromis plusieurs services liés à l'agence

Le groupe de hackers chinois Salt Typhoon a piraté les comptes de messagerie électronique des membres du personnel de puissantes commissions de la Chambre des représentants des États-Unis