Три миллиона человек, номера соцстрахования и почти год незамеченного взлома
Несанкционированный доступ к системе Центра данных о кадровых ресурсах Пентагона держался с октября прошлого года по июль. Об этом сообщил представитель американского оборонного ведомства. Утечка затронула 2,76 миллиона живых людей и еще 294 тысячи умерших — всего свыше трех миллионов записей.
Среди похищенного — номера социального страхования. Плюс сведения о должностях военных и гражданских служащих. В Пентагоне признали: характер этих данных способен вызвать вопросы в сфере национальной безопасности.
Центр хранит куда больше — более 60 миллионов кадровых записей. Действующие военнослужащие, резервисты, гражданский персонал, подрядчики, ветераны, пенсионеры, члены семей. Доступ к части этого массива получили несколько посторонних пользователей.
Уязвимость обнаружили и закрыли. Признаков неправомерного использования раскрытых сведений пока нет, заявил представитель ведомства.
Что стоит за сухими формулировками
Девять месяцев. Столько злоумышленники находились внутри системы, прежде чем их заметили. Для базы, где лежат номера соцстрахования военных, срок огромный. Отдельно в Пентагоне обсуждают другую тему: в самом ведомстве уже несколько недель говорят о другом.
В начале сентября сотрудники ведомства пожаловались на обстановку при министре обороны Пите Хегсете. По их оценке, обстановка ухудшается. Они называют её хаотичной и деморализующей. Источники добавили: Пентагон теряет специалистов из-за волны увольнений, которую начал Хегсет.
Утечка такого масштаба — это не просто технический сбой. Это провал сразу нескольких контуров защиты, которые должны были сработать независимо друг от друга.
Дыру в системе обнаружили только через три квартала. Кадровый голод и хаос в управлении редко идут в паре с крепкой кибербезопасностью.
Для сравнения: в 2015 году аналогичный взлом базы Управления кадров США затронул данные 21,5 миллиона человек. Тогда речь шла о действующих и бывших федеральных служащих. Конгресс потом несколько лет разбирался, кто виноват. Нынешний случай скромнее по числу записей, но касается военных — категория чувствительнее.
В ближайшие месяцы вероятны внутреннее расследование, иски пострадавших и пересмотр контрактов на киберзащиту. Внутреннее расследование Пентагона с отчетом перед профильными комитетами Конгресса. Иски от пострадавших: номера соцстрахования утекли, а это прямой риск мошенничества с кредитами и медицинскими счетами. Давление на подрядчиков, которые обслуживают DMDC. Контракты на киберзащиту госструктур пересмотрят, и не факт, что в пользу действующих исполнителей.
Для самих трех миллионов человек мало что изменится быстро. Уведомления придут, но когда — вопрос. Обычно в таких случаях ведомство рассылает письма с предложением бесплатного мониторинга кредитной истории. Эффективность такого мониторинга ограничена, альтернативных механизмов защиты у пострадавших нет.