掌控着美军准入密钥的美国国防部人力数据中心（DMDC），在长达9个月的时间里把300余万名军人的明文个人信息遗落在了不设防的网络角落。五角大楼在2026年9月中旬启动通报程序，承认一个未公开的文件共享系统存在访问控制漏洞，导致约305万人的军职档案、社会安全号（SSN）等核心数据被未授权访问。这不仅击穿了外界对军方顶级信息安全体系的盲信，更意味着针对现役与退役美军的大规模反情报与社会工程学风险已被彻底引爆。
Reddit曝出的静默危机：305万人明文档案失守
这场大体量的数据危机最先并非由五角大楼主动通报，而是在2026年9月中旬由受影响的服役人员在社交论坛Reddit的r/AirForce、r/Navy等板块晒出信件后才公之于众。军方正式核实的受影响人员精确统计为276万名在世人员与29.4万名已故人员，总计约305万人。该数字虽然低于内部早期研判的400万人上限，但仍远超此前媒体披露的初期估算。
系统失守的真实跨度令人警惕。未授权访问始于2025年10月，直到2026年7月16日DMDC才发现异常并完成系统漏洞修补。这意味着整整9个月内，未授权人员在没有触发核心日志告警的情况下进出系统。被读取的数据包含军人的全名、出生日期、性别、种族、服役具体分支与岗位，以及终身绑定的社会安全号。更为致命的是，五角大楼确认这些核心档案在静态存储时完全未加密。
守门人的讽刺：手握6000万档案却在明文裸奔
DMDC在五角大楼体系中扮演着极其特殊的角色。它维护着超过6000万份现役军人、文职人员及其家属的档案，既负责计算各项福利与退役金，也是整个美军体系的顶层身份认证中心。每一张用于物理刷开军事基地大门、登录五角大楼受限机房与内部网络的智能卡及电子凭据，全部由该部门负责签发与验证。其官方页面醒目标注的使命是确保正确的人获得权限，阻止错误的人进入。
这种核心身份管理者的定位，反衬出此次事件在工程实践上的巨大溃败。一个负责全军零信任架构推行的机构，却把数百万份明文敏感档案留在一个缺乏必要鉴权约束的文件共享系统内。直到9月18日发出通知函时，五角大楼依然未向公众解释黑客的具体身份、到底被下载了多少数据，仅表示尚无证据表明信息被滥用。
网络安全界普遍对这一官方口径持怀疑态度。在缺乏完整下载阻断日志和完整审计链路的情况下，无滥用证据往往只代表官方未能追踪到被盗数据的去向，并不等于数据没有落入对手手中。
坐标系对比：从OPM、FBI到DMDC的威胁演变
要把DMDC事件看清楚，必须将其放入近年来美国联邦雇员数据失窃的坐标系中审视。
2015年美国人事管理局（OPM）事件导致超过2200万联邦雇员档案被窃，其核心杀伤力来自SF-86表格中详尽的财务问题、心理咨询记录与亲属关系，属于高价值情报渗透。而在2026年9月上旬，黑客组织ShinyHunters侵入FBI的招聘系统fbijobs.gov，夺取了2至3TB关于联邦探员及其家属的申请材料，侧重于即时的人身威胁和勒索定向。
DMDC并不包含OPM那样纵深的背景问询细节，其成因偏向极其低级的内部共享文件配置与鉴权失效。但DMDC的危险性在于基础骨架的完整性：它提供了覆盖全军种且终身不可重置的底层索引。一旦将这批带有精准服役分支与SSN的军籍数据，与商业数据泄露库或公开社交信息进行撞库拼接，就能极其低成本地复原数百万军方人员的真实调动与生活轨迹。
密码被窃可以随时重置，而军籍轨迹与社会安全号一旦流失，便成了对手手中终身有效的定位坐标。
形式主义善后：12个月监控难平终身代价
面对这场不可逆的身份泄露，军方拿出的补救方案是由第三方服务商Identity Theft Guard Solutions（IDX）向涉案人员提供为期12个月的信用监控与身份恢复服务。这种套用商业公司处理信用卡泄露的应付方式，在基层官兵中引发了强烈反弹。
普通的金融欺诈防范机制根本无法覆盖军职身份泄露带来的特殊风险。针对军人的定向鱼叉钓鱼、冒充军工供应链代表进行接触、以及针对涉及敏感技术人员的长期画像，往往潜伏数年才会显现。一个长达9个月未被察觉的系统级漏洞，换来一份只有一年的商业外包监控，本质上是在用合规动作掩盖系统性防御的瘫痪。
- 风险.305万份明文军籍记录流入黑产或情报网络后，不会在短期内集中爆发信用卡盗刷，而是会长期化为针对国防承包商与重点军事基地的社会工程学敲门砖。
五角大楼尚未公开内部审计与问责方案，但来自国会针对9个月静默期与明文存储违规的听证质询已成必然。当防御的最高门槛在最基础的文件共享系统中被悄然绕过，重修军人信任的代价远比这批监控服务昂贵得多。