Le Pentagone affirme qu'une faille au DMDC a exposé 2,76 millions de personnes vivantes pendant neuf mois

Le Pentagone a révélé qu'une faille dans un système de partage de fichiers du Defense Manpower Data Center avait exposé les dossiers personnels d'environ 2,76 millions de personnes vivantes, ainsi que de quelque 294 000 personnes décédées, et que des utilisateurs non autorisés avaient eu accès aux fichiers pendant près de neuf mois avant que quiconque ne s'en aperçoive.

À lire aussi: La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements · Capcom : une intrusion expose 11,7 millions d'enregistrements CAPCOM ID et permet à un attaquant de changer 196 mots de passe.

Le centre, connu sous le sigle DMDC, a découvert la vulnérabilité le 16 juillet 2026, a corrigé le système et l'a remis en service. Une enquête a ensuite établi qu'un petit nombre d'utilisateurs non autorisés avaient atteint les fichiers à un moment situé entre octobre 2025 et le jour de la découverte, soit une fenêtre d'environ neuf mois. Les fichiers n'étaient pas chiffrés. Les chiffres de l'ampleur proviennent d'un responsable du ministère de la Défense ; dans l'usage de cette administration, le département se présente désormais comme le Department of War.

CNN a rapporté la divulgation le 25 septembre. TIME, ABC News et Federal News Network ont suivi en quelques jours avec l'ampleur de l'intrusion. Ars Technica a rapporté le 1er octobre que le Pentagone avait commencé à notifier « plus de 2 millions » de personnes et décrivait la brèche comme ayant compromis les « dossiers de 2,8 millions de personnes vivantes ».

Les deux séries de chiffres décrivent le même événement. Les 2,76 millions de vivants et 294 000 décédés sont les chiffres précis du département, soit un total d'environ 3,05 millions de dossiers. « 2,8 millions » et « plus de 3 millions » sont des arrondis. L'écart est faible, mais il sera intéressant de voir sur quel chiffre le département finit par s'arrêter.

Ce que le DMDC détient, et ce qui a fuité

Le DMDC est l'opération centralisée de dossiers de personnel du Pentagone, et elle est énorme. Au cours de l'exercice 2024, elle détenait au moins 60 millions de dossiers couvrant le personnel militaire et civil, les sous-traitants, les membres de la famille, les retraités et les anciens combattants. Un entrepôt de cette taille constitue un type de cible différent de l'annuaire des employés d'une seule agence.

Le mélange de personnes figurant dans ces dossiers fait partie de ce qui rend l'incident difficile à gérer. Un fichier du DMDC ne correspond pas proprement à une liste d'employés actuels. Il peut inclure des conjoints et des ayants droit, des sous-traitants qui n'ont jamais porté l'uniforme, des retraités partis depuis des décennies et des anciens combattants dont le service précède les protections modernes de l'identité. Notifier toutes ces personnes avec exactitude, et joindre des gens dont les coordonnées sont peut-être elles-mêmes périmées, est un exercice lent.

Les champs exposés variaient d'une personne à l'autre, mais le département affirme que chaque dossier contenait un numéro de sécurité sociale et au moins un autre identifiant : nom, date de naissance, coordonnées, sexe, origine ethnique et informations de personnel militaire telles que la spécialité professionnelle.

L'échelle change la nature du préjudice. Avec au moins 60 millions de dossiers au même endroit, la collection est assez vaste pour qu'un intrus puisse rechercher des motifs plutôt que des individus : militaires en service, unités particulières, codes de métier précis, retraités récents. Ce type de filtrage est ce qui transforme une fuite massive en fuite ciblée.

L'absence de chiffrement compte aussi. Elle n'aurait pas arrêté un intrus ayant atteint un service de partage de fichiers autorisé avec des accès valides, mais elle aurait limité la valeur des fichiers copiés. Sans chiffrement, les données restaient lisibles une fois l'accès obtenu.

Pourquoi la spécialité professionnelle compte

Security Affairs a pointé du doigt la spécialité professionnelle. C'est la partie d'un dossier qui aide un service de renseignement étranger à trouver les personnes qu'il veut.

Un numéro de sécurité sociale permet l'usurpation d'identité, ce qui est déjà assez grave pour l'individu. Un code de métier, plus un nom, plus un numéro de sécurité sociale, permet le ciblage. Les opérateurs du renseignement d'origine électromagnétique, les troupes des opérations spéciales, les spécialistes de la cyberdéfense et le personnel lié aux programmes nucléaires ou de missiles sont exactement les personnes dont la spécialité professionnelle les rend intéressantes pour un service étranger. Quiconque détient l'ensemble du jeu de données peut filtrer ces codes à grande échelle, puis recouper les noms, les dates de naissance et les coordonnées pour constituer une liste de cibles. C'est la différence entre une lettre de notification et un problème de contre-espionnage.

Tous les dossiers concernés ne comportaient pas la spécialité, et le département n'a pas dit combien. L'exposition est variable, donc le risque pratique l'est aussi.

La valeur d'un champ comme la spécialité professionnelle croît d'ailleurs avec chaque autre fuite. Un code de métier est plus utile lorsqu'il peut être associé à un nom, une date de naissance ou une adresse ayant surgi dans une autre fuite. Les données de personnel ont une longue durée de conservation, et des dossiers recueillis à des années d'intervalle peuvent être combinés en un profil qu'aucune divulgation isolée ne permettrait de construire.

Une intrusion discrète à côté d'une campagne bruyante

C'est la deuxième grande brèche fédérale américaine divulguée en un mois, et les deux ne se ressemblent pas du tout.

Le groupe d'extorsion ShinyHunters a affirmé avoir piraté des systèmes du FBI et volé des dossiers couvrant des milliers d'employés actuels ou anciens du FBI. Reuters a rapporté que les dossiers comprenaient des intitulés de poste liés à des enquêtes sur la Chine ou la Russie. La police néerlandaise a arrêté un membre présumé de ShinyHunters, un homme de 24 ans à Amsterdam. Brett Leatherman, directeur adjoint de la division cyber du FBI, a publié une vidéo appelant les membres du groupe à se rendre.

« Plus vous restez dans cette affaire, plus nous en apprenons sur vous... nous savons comment vous trouver. Je vous suggère de nous contacter en premier tant que le choix vous appartient encore. » — Brett Leatherman, directeur adjoint, division cyber du FBI

ShinyHunters veut attirer l'attention, et sa campagne est arrivée avec une revendication publique, une victime nommée et une arrestation. L'intrusion du DMDC est arrivée à l'opposé : aucune revendication, aucun auteur nommé et aucun récit public de la manière dont elle s'est produite. Pour les défenseurs, le cas silencieux est le plus difficile à traiter, car il n'y a pas de persona criminelle à tracer ni de note de rançon à analyser.

Les deux campagnes diffèrent aussi par ce qu'elles donnent aux enquêteurs. Une revendication publique, même intéressée, offre un point de départ : un groupe à suivre, une infrastructure à cartographier, un mobile à éprouver. Une intrusion sans revendication n'offre rien de tout cela. Le dossier du DMDC doit être reconstruit à partir des journaux et de la médecine légale des systèmes, et le département n'a pas dit ce que ceux-ci ont montré.

Le précédent de l'OPM

La fuite de 2015 du Bureau de la gestion du personnel des États-Unis (OPM) est la comparaison qui revient dans la couverture de l'affaire DMDC. Des pirates liés à l'État chinois ont obtenu 22,1 millions de dossiers issus de vérifications de sécurité, y compris des données d'empreintes digitales, et l'affaire reste la mesure des dommages causés aux données de personnel du gouvernement américain. À cette aune, les chiffres du DMDC, même à environ 3,05 millions, sont pris au sérieux plutôt que comme un simple décompte de routine.

L'OPM a aussi exposé plus que des identités : il a révélé qui travaillait sur quoi, la même catégorie d'informations que fournit ici la spécialité professionnelle. L'échelle du DMDC est plus petite. La sensibilité par dossier se recoupe.

Dans les deux cas, les données fuitées sont permanentes d'une manière qu'un mot de passe n'est pas. Un numéro de sécurité sociale ne peut pas être réémis, et un intitulé de poste ou une date de naissance divulgués n'expirent pas. Les fuites de données de personnel sont traitées comme un risque à vie pour cette raison.

Ce qui reste inconnu

Aucun groupe cybercriminel connu n'a revendiqué la brèche du DMDC. Le Pentagone n'a pas dit comment les attaquants sont entrés, s'il a contacté les responsables, ni s'il y avait eu des demandes de rançon.

Les responsables affirment que les données volées n'ont pas été utilisées à mauvais escient. Ils n'ont pas expliqué comment ils sont parvenus à cette conclusion. Prouver une négation au sujet de données personnelles volées est quasiment impossible : l'usage abusif se manifeste souvent des mois ou des années plus tard sous forme de fraude, d'hameçonnage ou de ciblage, et une fenêtre de neuf mois d'accès non détecté est assez longue pour qu'une absence d'abus observé jusqu'ici ne constitue pas une preuve solide de son absence.

Neuf mois, c'est une longue fenêtre. Elle a donné aux intrus le temps de copier des fichiers, d'élargir leur accès et de couvrir leurs traces, et elle a allongé la période pendant laquelle un usage abusif a pu être préparé. Les responsables n'ont pas dit ce que les journaux ont montré.

Ce que les personnes concernées devraient faire

Toute personne informée qu'elle est concernée devrait s'inscrire à la surveillance du crédit que le DMDC fournit via IDX, et le faire avant la date limite du 19 août 2027 plutôt qu'à la dernière minute. Un gel du crédit auprès des principaux bureaux est un contrôle plus fort que la surveillance, même s'il faut le lever chaque fois que la personne demande un crédit. La surveillance est surtout utile parce qu'elle fait apparaître après coup un compte ouvert au nom de quelqu'un d'autre.

Comme les dossiers fuités associent un numéro de sécurité sociale à un nom et, dans de nombreux cas, à des coordonnées, l'usage abusif le plus probable est la fraude à l'identité et l'hameçonnage ciblé plutôt qu'une prise de contrôle ponctuelle d'un compte. Un hameçonnage qui cite un vrai code de métier et une vraie unité est plus convaincant qu'un leurre générique, et c'est le genre de chose qui n'apparaîtra pas dans un rapport de crédit. Les personnes concernées devraient traiter les messages inattendus au sujet de leur parcours de service avec plus de méfiance que d'habitude.

Ce qu'il faut surveiller

Trois choses méritent d'être suivies. L'attribution : le gouvernement américain nommera-t-il un coupable ou liera-t-il formellement l'intrusion à un État ou à un groupe criminel. La correction de l'ampleur : le chiffre de 2,76 millions tiendra-t-il une fois la notification terminée, ou le département le révisera-t-il comme les chiffres de l'OPM l'ont été. Et l'explication : les responsables fourniront-ils un élément à l'appui de l'affirmation selon laquelle les données n'ont pas été utilisées à mauvais escient, ou laisseront-ils une assurance sans preuve.

Les systèmes de partage de fichiers sont un point faible récurrent dans les grandes organisations pour une raison simple. Ils existent pour faire circuler des documents entre des personnes, ce qui signifie qu'ils sont conçus pour être accessibles et pour détenir des données sous une forme utilisable. Un contrôle qui rend un partage de fichiers plus sûr, comme exiger une autorisation explicite pour chaque fichier et chiffrer tout au repos, le rend aussi moins pratique. C'est cette tension qui explique pourquoi les dépôts partagés, plutôt que les bases de données durcies, apparaissent si souvent dans les divulgations de brèches. Le département n'a pas décrit la faille précise du DMDC, mais le contour, un entrepôt non chiffré accessible à des utilisateurs non autorisés pendant des mois, suit une forme familière.

Une attribution formelle constituerait une étape importante. Nommer un État ou un groupe criminel est un acte politique et juridique autant que technique, et les gouvernements attendent souvent une évaluation qu'ils sont prêts à assumer. Une revendication publique d'un groupe, ou une arrestation, serait un signal plus rapide. Jusqu'ici, il n'y a ni l'un ni l'autre, ce qui laisse l'incident sans réponse publique à sa question la plus élémentaire : qui a pris les fichiers.

Tant que ce schéma ne changera pas dans les agences fédérales de personnel, les lettres de notification continueront de partir.

Couverture : Un militaire américain insère une carte d'accès commune dans un clavier. Photo via le U.S. Marine Corps, domaine public.