Une faille du Defense Manpower Data Center (DMDC) a exposé des informations sensibles durant près de neuf mois. Selon les données publiées en octobre 2026, environ 3,05 millions de dossiers sont concernés. L’incident rappelle qu’une base administrative peut aussi devenir un outil de ciblage.
Le DMDC a détecté et corrigé la faille en juillet 2026. Les dossiers exposés concernent 2,76 millions de personnes vivantes et 294 000 personnes décédées. Les informations incluent des numéros de sécurité sociale, des coordonnées et des spécialités professionnelles. Le Pentagone ne signale pas d’usage abusif confirmé, mais le risque de fraude demeure.
Fuite de données au Pentagone : les faits
Le Defense Manpower Data Center gère des dossiers liés au personnel du département américain de la Défense. Sa base soutient notamment l’accès aux soins, aux droits sociaux et aux prestations de retraite.
Selon les éléments communiqués par le Pentagone et rapportés par plusieurs médias, une faille touchait un système de partage de fichiers. Des personnes non autorisées ont accédé aux serveurs d’octobre 2025 à la mi-juillet 2026. Le DMDC a ensuite corrigé le problème.
Le bilan cité atteint près de 3,05 millions de dossiers : 2,76 millions de personnes vivantes et 294 000 personnes décédées. Les données en cause comprennent noms, dates de naissance, coordonnées et numéros de sécurité sociale. Certaines notifications font aussi état de la spécialité professionnelle des militaires.
| Élément | Information rapportée |
|---|---|
| Organisme concerné | Defense Manpower Data Center |
| Période d’exposition | D’octobre 2025 à la mi-juillet 2026 |
| Personnes vivantes | Environ 2,76 millions |
| Dossiers de personnes décédées | Près de 294 000 |
| Mesure annoncée | Un an de surveillance des données pour les personnes visées |
La somme des deux catégories approche 3,05 millions, chiffre cohérent avec le total relayé. Le périmètre exact des dossiers familiaux n’est pas précisé.
Les conseils de la CNIL après une fuite de données aident à distinguer les gestes utiles des réflexes inutiles. Dans cette affaire, le Pentagone dit ne pas disposer d’indice d’un usage abusif des informations volées.
Une exposition longue, sans chiffrement signalé
La durée de l’accès augmente la portée potentielle de l’incident. Les informations personnelles étaient sans chiffrement, selon les données publiées.
Le chiffre de plus de 60 millions de dossiers décrit la capacité de gestion du DMDC. Il ne signifie pas que chaque dossier a été consulté ou volé. Cette distinction compte pour évaluer l’ampleur réelle de la fuite.
La durée de neuf mois pose aussi une question de détection. Une faille connue tardivement laisse plus de temps aux attaquants pour copier, trier ou recouper des données.
Pourquoi cette fuite menace la vie privée
Un numéro de sécurité sociale associé à une date de naissance facilite l’usurpation d’identité. Une adresse ou un numéro de téléphone peut aussi servir à des tentatives de fraude ciblées.
Les spécialités professionnelles ajoutent une dimension de sécurité nationale. Avec ces éléments, un acteur hostile peut établir des profils, choisir ses cibles et rédiger des messages crédibles.
Le risque ne se limite pas aux membres actifs de l’armée. Les vétérans, les proches potentiellement concernés et les personnes décédées figurent aussi dans les catégories signalées.
L’incident attribué au groupe ShinyHunters chez le FBI illustre les enjeux liés aux données détenues par des institutions publiques. Les deux affaires ne prouvent pas un lien entre les acteurs, mais elles rappellent la valeur de ces fichiers.
Pour une PME française, aucun lien direct avec cette fuite n’est établi. La leçon reste concrète : une base RH, un prestataire ou un espace de partage mal protégé peut exposer des données utiles aux fraudeurs.
Un risque de fraude au-delà du vol de fichiers
Les données volées peuvent nourrir des courriels qui imitent une administration, un assureur ou un ancien employeur. Une demande de vérification urgente paraît plus crédible si elle reprend des détails exacts.
Une entreprise qui détient des informations personnelles doit donc évaluer leur valeur combinée. Un nom seul présente un risque limité ; un nom lié à une fonction, une adresse et une date de naissance en présente davantage.
La fuite rappelle aussi l’utilité du chiffrement au repos et du contrôle des accès. Ces mesures n’empêchent pas toute intrusion, mais réduisent l’exploitation directe des données copiées.
Réponse du Pentagone et mesures utiles
Le DMDC indique qu’il évalue et renforce la cybersécurité du système. Les personnes visées se voient proposer un an de surveillance de leurs données, selon les informations publiées. Cette offre peut aider à repérer certains usages frauduleux. Elle ne remplace pas une vigilance durable, car les informations personnelles gardent leur valeur bien après la découverte d’une faille.
Pour les entreprises, l’incident justifie une revue des systèmes de partage de fichiers. Il faut vérifier les droits d’accès, conserver les journaux de connexion et corriger vite les vulnérabilités connues. Une fuite qui touche des demandeurs d’emploi en Aveyron montre que ces risques concernent aussi des organismes locaux. La protection des données doit couvrir chaque maillon, du serveur central au prestataire externe.
Les équipes peuvent aussi préparer une procédure claire pour informer les personnes touchées. Une alerte précise aide chacun à reconnaître les messages frauduleux et à protéger ses comptes. À ce stade, les faits disponibles établissent une exposition longue et un volume élevé. Ils ne confirment ni exploitation malveillante des dossiers ni implication d’un groupe précis. L’enquête et les vérifications techniques devront préciser ces points.
