概要
米国防総省(DoD)の人事データセンター(DMDC: Defense Manpower Data Center)は、同センターが運用する人事管理システムのファイル共有機能に存在した脆弱性を突かれ、約300万人分の個人情報が不正に窃取されていたと発表した。侵入は2025年10月から2026年7月16日に発覚するまでの約9ヶ月間にわたって継続しており、「少数の不正ユーザー」がアクセスしていたとされる。影響を受けたのは生存する軍人・軍属ら約280万人と、故人約29万4000人の合計約300万人分の記録で、氏名、社会保障番号、生年月日、性別、人種、連絡先、軍務関連情報などが含まれる。最も深刻な点は、これらの記録が暗号化されないまま保存されていたことだ。
侵害の経緯と技術的背景
DMDCは1974年に設立され、現役・退役の軍人や軍属、契約業者、家族、退役軍人を含む6000万件以上の記録を保有する、国防総省内で中心的な身元管理(identity management)を担う機関である。各種の給付資格認定や人事プログラムの基盤データベースとして機能しており、今回侵害を受けた人事管理システムもその一部だ。脆弱性の具体的な内容や悪用された製品名は公表されていないが、ファイル共有システムの欠陥により複数の不正アクセスが許容される状態が長期間放置されていたことが判明している。脆弱性は2026年7月16日の発見後直ちに修正されたといい、国防総省はその後プライバシーおよびサイバーセキュリティのインシデント対応を開始した。現時点でどのハッカー集団も犯行を認めておらず、侵入者の正体は明らかになっていない。
対応措置と評価の分かれる点
国防総省は影響を受けた個人に通知書簡を送付し、情報セキュリティ企業IDXによる12ヶ月間の無料クレジットモニタリングサービスを提供するとしている。登録期限は2027年8月19日に設定されている。また、同省は「情報が悪用された兆候は現時点で確認されていない」と説明しているが、その判断の根拠となる具体的な監視結果や調査手法は明らかにされていない。報道では、2015年に連邦人事管理局(OPM)から2200万人以上の職員記録が窃取された大規模侵害との類似性が指摘されているほか、Oracle PeopleSoftのゼロデイ脆弱性を突いてFBI人事データベースが侵害された別件のShinyHunters関連事案とも並べて語られており、米政府機関の人事システムを狙った攻撃が相次いでいる構図が浮かび上がる。
今後の見通し
社会保障番号を含む機微情報が平文のまま長期間外部に晒されていた事実は、国防関連の人員にとってなりすましや標的型フィッシングのリスクを高める。現役・退役を問わず軍関係者の身元情報は諜報活動や脅迫の材料としても価値が高く、攻撃者の身元や目的が不明なままである点は懸念材料だ。国防総省は再発防止に向けたサイバーセキュリティ態勢の見直しを進めるとしているが、具体的な暗号化方針の強化や監査体制の変更など、恒久対策の詳細は今後の発表が待たれる。