Data Personel Pentagon dari Lebih dari 3 Juta Orang Dicuri Hacker

Pentagon mengungkap bahwa data pribadi jutaan personel militer dan individu lainnya dicuri setelah sistem manajemen sumber daya manusia milik Defense Manpower Data Center (DMDC) berhasil ditembus hacker.

Insiden tersebut terjadi setelah penyerang mengeksploitasi kerentanan pada sistem file-sharing yang digunakan DMDC. Akses tidak sah terhadap data berlangsung sejak Oktober 2025 hingga Juli 2026.

DMDC kemudian mulai memberi tahu individu yang terdampak bahwa sejumlah kecil pengguna tidak sah telah memperoleh akses terhadap informasi sensitif mereka.

Lebih dari 3 Juta Orang Terdampak

Pejabat Pentagon mengatakan insiden tersebut berdampak pada lebih dari 3 juta orang.

Jumlah tersebut mencakup hampir 2,8 juta orang yang masih hidup dan sekitar 294.000 individu yang telah meninggal dunia.

Data yang terekspos berbeda-beda untuk setiap individu. Informasi yang dicuri dapat mencakup Social Security Number (SSN), nama, tanggal lahir, informasi kontak, jenis kelamin, ras, serta informasi terkait personel militer.

Dengan cakupan data tersebut, insiden ini termasuk kebocoran informasi pribadi berskala besar dan berpotensi menimbulkan risiko penyalahgunaan identitas bagi individu yang terdampak.

Hacker Mengeksploitasi Kerentanan File-Sharing

Menurut pemberitahuan yang dikirim DMDC kepada individu terdampak, akses tidak sah terjadi setelah penyerang mengeksploitasi kerentanan pada sistem file-sharing.

DMDC mengatakan sejumlah kecil pengguna tidak sah memperoleh akses terhadap data sensitif selama periode yang cukup panjang, yakni dari Oktober 2025 hingga Juli 2026.

Setelah kerentanan ditemukan, DMDC segera menjalankan prosedur respons terhadap insiden privasi dan cybersecurity sesuai dengan pedoman serta kebijakan pemerintah Amerika Serikat.

Organisasi tersebut juga mengatakan sedang melakukan evaluasi dan peningkatan terhadap keamanan sistem DMDC.

Belum terdapat informasi publik yang menjelaskan secara rinci bagaimana kerentanan tersebut dieksploitasi, siapa pelaku serangan, maupun bagaimana data tersebut digunakan setelah berhasil dicuri.

Pentagon Menawarkan Credit Monitoring Gratis

Sebagai bagian dari respons terhadap insiden, Pentagon menyediakan 12 bulan layanan credit monitoring gratis bagi individu yang terdampak.

Layanan tersebut diberikan melalui penyedia layanan data breach dan recovery IDX.

Individu yang menerima pemberitahuan perlu melakukan pendaftaran sebelum 19 Agustus 2027 untuk mendapatkan layanan tersebut.

Credit monitoring dapat membantu korban memantau aktivitas kredit yang mencurigakan dan mendeteksi kemungkinan penyalahgunaan identitas setelah data pribadi mereka terekspos.

Namun, karena jenis informasi yang dicuri mencakup data sensitif seperti SSN dan tanggal lahir, individu yang terdampak tetap perlu memperhatikan aktivitas keuangan dan identitas mereka setelah periode pemantauan berakhir.

DMDC Menyimpan Lebih dari 60 Juta Rekam Data

DMDC merupakan pusat dukungan operasional yang didirikan pada 1974 dan memiliki peran penting dalam pengelolaan data personel Departemen Pertahanan Amerika Serikat.

Organisasi tersebut menyimpan lebih dari 60 juta rekaman data yang berkaitan dengan personel militer dan sipil, contractor, anggota keluarga, pensiunan, serta veteran.

Data yang dikelola digunakan untuk berbagai keperluan, termasuk pemberian benefit dan entitlement, pelatihan, informasi finansial, serta berbagai program lain milik Department of Defense (DoD).

DMDC juga menjalankan program personel DoD serta melakukan penelitian dan analisis berdasarkan arahan Office of the Secretary of Defense.

Besarnya jumlah data yang disimpan membuat keamanan infrastruktur DMDC menjadi sangat penting, mengingat kompromi terhadap sistem tersebut dapat memberikan akses terhadap informasi pribadi dalam skala yang sangat besar.

Data DMDC Digunakan Banyak Lembaga Pemerintah

DMDC tidak hanya menyediakan data untuk kebutuhan internal Departemen Pertahanan.

Data dan layanan yang disediakan organisasi tersebut mendukung berbagai entitas pemerintah Amerika Serikat, termasuk sektor legislatif, layanan sosial, pertahanan nasional, ketenagakerjaan, kesehatan, keuangan, veteran affairs, serta penelitian.

Keterhubungan dengan berbagai fungsi pemerintahan tersebut membuat insiden keamanan pada infrastruktur DMDC memiliki potensi dampak yang lebih luas dibandingkan sekadar kebocoran data pada satu sistem internal.

Meski demikian, belum ada informasi yang menunjukkan bahwa seluruh sistem yang terhubung dengan DMDC ikut dikompromikan dalam insiden ini.

Terjadi Setelah Kebocoran Data FBI

Insiden DMDC juga terjadi tidak lama setelah muncul laporan mengenai serangan terhadap sistem pemerintah Amerika Serikat lainnya.

Kelompok pemerasan data ShinyHunters sebelumnya mengklaim telah membobol situs FBIjobs.gov menggunakan zero-day pada Oracle PeopleSoft.

Kelompok tersebut mengklaim berhasil mencuri data dalam jumlah beberapa terabyte, termasuk nama, Social Security Number, alamat rumah, dan informasi penugasan yang dikaitkan dengan hampir seluruh agen FBI.

Data yang diklaim dicuri juga disebut mencakup informasi anggota FBI Remote Operations Unit, tim yang terlibat dalam operasi hacking.

Namun, klaim tersebut berasal dari ShinyHunters dan tidak seluruh rincian mengenai data yang diklaim dicuri telah dikonfirmasi secara independen.

ShinyHunters mengatakan serangan terhadap FBI tersebut tidak dilakukan dengan motif finansial dan menyatakan tidak berencana mempublikasikan data maupun melakukan pemerasan terhadap lembaga tersebut.

Investigasi Kebocoran Data Pentagon Masih Berlangsung

DMDC belum mengungkapkan identitas pelaku maupun rincian teknis mengenai kerentanan yang digunakan dalam serangan.

Yang telah dikonfirmasi adalah adanya akses tidak sah terhadap data sensitif selama periode Oktober 2025 hingga Juli 2026 dan dampaknya mencapai lebih dari 3 juta individu.

Pentagon kini melakukan tindakan untuk mengevaluasi serta memperkuat keamanan sistem yang terdampak. Sementara itu, individu yang menerima pemberitahuan diminta memanfaatkan layanan credit monitoring yang disediakan dan memperhatikan kemungkinan aktivitas mencurigakan yang berkaitan dengan identitas mereka.

Insiden ini kembali menunjukkan risiko yang muncul ketika sistem pemerintah menyimpan data pribadi dalam jumlah sangat besar. Bahkan satu kerentanan pada sistem pendukung seperti file-sharing dapat memberikan akses terhadap informasi sensitif milik jutaan orang apabila tidak segera ditemukan dan ditangani.