Imagine descobrir que, por quase um ano, alguém teve livre acesso a um arquivo com o seu nome completo, data de nascimento e o número que te identifica unicamente perante o governo americano — e que ninguém percebeu nada até o estrago já estar feito. É basicamente o que acabou de ser confirmado sobre o Defense Manpower Data Center (DMDC), o órgão que funciona como uma espécie de cadastro central do Pentágono: é ele quem guarda os registros de mais de 60 milhões de pessoas entre militares da ativa, veteranos, funcionários civis da Defesa e seus dependentes.
O caso só virou notícia pública entre os dias 24 e 30 de setembro de 2026, quando veículos como Military Times, Federal News Network e SecurityWeek publicaram os primeiros detalhes com base em cartas de notificação enviadas às vítimas. Mas a invasão em si é bem mais antiga — e é justamente esse intervalo entre o início do ataque e a sua descoberta que transforma esse episódio em um dos vazamentos mais graves da história recente das Forças Armadas americanas.
Um buraco de segurança que ficou aberto por quase um ano
Segundo o próprio DMDC, a origem do problema foi uma vulnerabilidade em um servidor de compartilhamento de arquivos — o tipo de sistema interno usado para trocar documentos entre departamentos, sem necessariamente ter o mesmo nível de proteção de um banco de dados principal. Foi por essa porta mal trancada que um número não revelado de invasores conseguiu entrar e navegar pelos arquivos do órgão a partir de outubro de 2025.
Ninguém percebeu a presença deles durante nove meses. A falha só foi identificada internamente em 16 de julho de 2026, quando equipes do próprio DMDC encontraram a vulnerabilidade, corrigiram o acesso e, segundo o órgão, “iniciaram imediatamente as ações de resposta a incidentes de privacidade e cibersegurança” previstas pelas diretrizes do governo americano. O problema é que, entre a entrada dos invasores e essa descoberta, o estrago já tinha sido feito havia muito tempo.
O detalhe que mais irritou especialistas em segurança não foi só o tempo que os hackers passaram lá dentro — foi o que eles encontraram quando chegaram. Os arquivos continham números de Seguro Social (o SSN, equivalente ao CPF americano: um número único que identifica a pessoa para sempre e que, uma vez vazado, não tem como ser trocado) guardados em texto puro, sem nenhuma camada de criptografia. Ou seja: quem acessou aquele servidor não precisou quebrar senha nenhuma para ler os dados — bastou abrir o arquivo.
Do primeiro acesso à revelação pública
Invasores não identificados começam a acessar arquivos do servidor de compartilhamento do DMDC, sem serem detectados.
O próprio DMDC descobre a vulnerabilidade internamente, após quase 9 meses de acesso não autorizado, e corrige a falha.
O órgão começa a enviar cartas de notificação formais às pessoas afetadas, conforme exigido por lei.
Military Times, Federal News Network, SecurityWeek e outros veículos publicam os primeiros detalhes do caso, tornando o vazamento conhecido do público.
O Departamento de Guerra ainda não identificou publicamente quem invadiu o sistema nem divulgou se existe suspeita de atuação de um país específico — e diz não ter, até agora, indícios de que os dados tenham sido usados de forma indevida.
Quantas pessoas foram expostas, afinal
O número exato variou um pouco entre as primeiras reportagens, mas a conta mais consistente — confirmada por um funcionário do Departamento de Guerra à imprensa americana — fecha em cerca de 3,05 milhões de pessoas, divididas entre registros de gente viva e de gente já falecida. O detalhe dos falecidos chama atenção: mesmo quem já morreu continua tendo o SSN ativo nos registros do governo, e esse número pode ser usado para fraudes em nome de uma pessoa que não está mais aqui para perceber ou contestar nada.
| Item | Detalhe |
|---|---|
| Total de afetados | ~3,05 milhões de pessoas |
| Pessoas vivas atingidas | 2,76 milhões |
| Pessoas falecidas atingidas | 294 mil |
| Tempo sem detecção | ~9 meses (out/2025 a jul/2026) |
| Dados expostos | SSN, nome, data de nascimento, sexo, raça, cargo/especialidade militar |
| Monitoramento de crédito oferecido | 12 meses grátis via IDX, até 19/ago/2027 |
Vale registrar que esse número oficial não é unanimidade: o Military Times, citando fontes internas não identificadas, chegou a mencionar que o universo de pessoas do Departamento de Defesa potencialmente afetadas poderia bater perto de 4 milhões — um sinal de que a investigação sobre o alcance real do vazamento ainda pode render atualizações nos próximos meses.
”Um potencial filão de ouro para serviços de inteligência estrangeiros interessados em rastrear militares americanos.”
— Justin Sherman, CEO da consultoria de cibersegurança Global Cyber Strategies
Sherman explicou à imprensa que o risco não é só o roubo de identidade clássico (abrir cartão de crédito ou empréstimo em nome de outra pessoa). Cruzado com outras bases de dados comerciais — as que vendem informação sobre renda, dívidas, estado civil, hábitos de consumo e navegação — esse tipo de vazamento vira matéria-prima para montar o perfil completo de um militar específico: quem é, onde mora, quanto ganha, com quem se relaciona. Informação valiosa tanto para golpes de phishing bem direcionados quanto, no limite, para tentativas de aproximação de inteligência estrangeira.
Se você (ou alguém da família) pode ter sido afetado
Se você é militar da ativa, veterano, funcionário civil do Departamento de Guerra americano (ou dependente de alguém nessas categorias) e deveria ter recebido uma carta de notificação a partir de 18 de setembro de 2026, vale conferir se ela chegou — inclusive na caixa de spam. A ausência da carta não é garantia de que seus dados estão seguros; o processo de notificação em massa costuma ter atrasos.
- Ative o monitoramento de crédito gratuito oferecido pelo governo através da empresa IDX — o prazo de inscrição vai até 19 de agosto de 2027, mas quanto antes ativar, mais cedo qualquer movimentação suspeita é sinalizada.
- Considere congelar o crédito (credit freeze) nos birôs de crédito americanos, impedindo que novas contas sejam abertas no seu nome sem uma senha específica — mesmo que alguém tenha seu SSN em mãos.
- Desconfie de contatos “oficiais” fora do padrão: golpistas tendem a aproveitar vazamentos como esse para ligar ou mandar e-mail se passando pelo Departamento de Guerra, pedindo “confirmação de dados” — nenhuma notificação legítima pede senha ou número de cartão por telefone.
- Guarde a carta de notificação caso ela chegue — é o documento que comprova que você está na lista oficial de afetados, útil para qualquer disputa futura sobre fraude em seu nome.
Esse episódio reacende a comparação com o vazamento do Office of Personnel Management (OPM) em 2015, até hoje um dos maiores ataques já sofridos pelo governo americano: mais de 21 milhões de pessoas, entre funcionários federais e familiares, tiveram dados pessoais e de verificação de antecedentes expostos. A diferença é que, nove anos depois, o problema de guardar dado sensível sem criptografia — o mesmo erro básico — ainda aparece em um sistema do próprio Pentágono.
Um detalhe de bastidor que ajuda a situar o momento: desde setembro de 2025, por ordem executiva assinada pelo presidente Donald Trump, o órgão que décadas inteiras foi chamado de Departamento de Defesa (DoD) passou a se chamar oficialmente Departamento de Guerra — o Pentágono segue sendo o apelido popular do prédio e da estrutura, agora sob esse novo nome formal. É esse mesmo órgão, com o nome trocado há pouco mais de um ano, que agora precisa explicar como deixou o cadastro de milhões de militares exposto por tanto tempo.
Esse não é um vazamento de senha, que dá para trocar em dois minutos — é um vazamento de identidade. O SSN não muda, e uma vez exposto sem criptografia por quase um ano, o mais seguro é agir como se aquele número já estivesse circulando, mesmo sem prova concreta de uso indevido até agora. Se você está na lista de afetados (ou mora com alguém que está), a recomendação prática é simples: ative o monitoramento de crédito gratuito, considere o congelamento de crédito e redobre a desconfiança com qualquer contato que peça “confirmação de dados” nos próximos meses — é exatamente a brecha que esse tipo de vazamento abre para golpes.
Para quem acompanha segurança digital de fora dos EUA, o caso também serve de alerta sobre um hábito comum demais em sistemas corporativos e governamentais: tratar servidor de compartilhamento de arquivos como área “menos crítica” e deixar justamente aí o dado mais sensível sem criptografia. Fica a lição para empresas brasileiras que lidam com CPF, dados de clientes ou de funcionários: criptografia no repouso dos dados não é exagero, é o mínimo — e o Pentágono acaba de pagar caro por pular essa etapa.
Fontes: Federal News Network (set/2026), BleepingComputer, SecurityWeek (29/09/2026), Military Times (24/09/2026), Cybernews, ABC News (via abc17news, 25/09/2026), Rawstory.