五角大楼300万军人人事档案遭窃密9个月：未加密服务器与军事专长泄露风险

两周前，一名美军退役人员在自家的实体信箱里拆开了一封信。

信是从五角大楼下属的国防人力数据中心（DMDC）寄来的。 纸上通知他：你的个人信息被黑客偷走了，五角大楼决定为你提供为期一年的免费信用监控。

这名当事人把通知信拍了一张照片，发到了 Reddit 论坛上。

整起事件由此被推到了公众面前。 CNN 随后向美国军方核实，对方给出了最终确认的数字： 整整 300 万人的核心档案遭到泄露。 其中在世人员 276 万人，已故人员 29.4 万人。

更惊人的是这起入侵持续的时间。 黑客在 2025 年 10 月就已经拿到了服务器的访问权限。 一直到 2026 年 7 月 16 日，国防部才发现漏洞并打上补丁。 整整 9 个月的时间里，攻击者在系统内持续提取数据，内网没有任何有效告警。

国防人力数据中心是五角大楼的人事中枢。 这家机构手里维护着超过 6000 万份人员档案， 涵盖所有现役军人、预备役、文职雇员、防务承包商以及退伍老兵。

被拖走的数据不仅包括姓名、出生日期、联系方式， 还包括最底层的社会安全号（SSN）。 而且调查证实，黑客访问的这批服务器上，这些敏感信息处于未加密状态。

如果只是银行卡或普通网购账号被盗，金融机构可以冻结换卡。 但这里被盗的是军人的底牌。

在被窃取的数据字段里，有一项极具杀伤力的指标：军事专业代码（occupational specialty）。

一旦攻击者把个人的真实姓名、社会安全号与具体的军职专长拼在一起， 产生的结果就远远超出了普通的身份冒用。 对于外国情报机构而言，这是一份按图索骥的美军全球人员画像。

谁是潜艇声呐操作员，谁负责低轨卫星通信，谁在印太一线从事电子战， 谁掌握无人机作战系统的通信链路， 这些原本隐藏在编制深处的关键岗位，全都在数据库里清晰可查。

拿到这种颗粒度的数据，根本不需要再去强攻高等级的指挥中枢。 攻击者可以用战友的真实名字、精准的编制信息和职务细节， 发起无懈可击的定向钓鱼邮件， 一步步诱骗一线技术人员交出登录凭证， 从而拿到更核心的内部机密。

根据国防人力数据中心在通知信中的说法， 他们在 2026 年 7 月 16 日发现文件共享系统的漏洞后，立即完成更新并恢复了系统。 能快速打上补丁，说明被利用的大概率属于已知安全缺陷，却在内网长期无人修补。

这种边缘文件传输系统成为致命入口的剧本，在近年屡见不鲜。 过去几年里，勒索黑客组织持续把目标对准 MOVEit 和 GoAnywhere 这类文件交换工具， 利用管理接口的漏洞成批量攻破数千家机构。 就在几天前，为联邦政府及国防承包商提供安全文件传输的 Kiteworks， 还公开通知客户紧急关机 9 小时，以应对迫在眉睫的外部网络攻击。

五角大楼在通知信中对受害者表示，目前还没有证据表明这些档案被黑产滥用。 但面对在暗处流转了 9 个月的 300 万军人档案， 给出的补救措施，仅仅是一份为期 12 个月的商业信用监控。

对成千上万在前线服役的作战人员来说， 自己的身份专长和家庭信息已经暴露在对手的显微镜下， 而那张寄到信箱里的通知纸，只能提醒他们看好自己的信用卡账单。