كشفت وزارة الدفاع الأمريكية عن اختراق نظام لمشاركة الملفات تابع لمركز بيانات القوى البشرية الدفاعية، أتاح لعدد صغير من المستخدمين غير المصرح لهم الوصول إلى معلومات شخصية حساسة وغير مشفرة طوال نحو 9 أشهر. وأثر الحادث على أكثر من 3 ملايين سجل، في حين لم تحدد الوزارة هوية الجهة التي تقف وراء الوصول أو دوافعها.
اكتشاف الثغرة وإصلاح نظام المشاركة
وبحسب إخطار أرسله المركز إلى الأشخاص المتضررين في 24 سبتمبر/أيلول 2026، اكتُشفت الثغرة الأمنية في 16 يوليو/تموز من العام نفسه. وأظهر التحقيق الذي أعقب اكتشافها أن الوصول غير المصرح به بدأ في أكتوبر/تشرين الأول 2025، واستمر حتى يوليو/تموز 2026. وقالت وزارة الدفاع إن الثغرة عولجت فور اكتشافها، قبل إعادة تشغيل النظام بعد إتمام الإصلاح.
ويعد مركز بيانات القوى البشرية الدفاعية أحد أبرز مستودعات البيانات المتعلقة بالعاملين في المؤسسة العسكرية الأمريكية، ويحتفظ بسجلات تخص فئات متعددة مرتبطة بوزارة الدفاع وعائلاتهم. وتشير المعلومات المتاحة عن الحادث إلى أن نقطة الدخول تمثلت في ثغرة داخل نظام لمشاركة الملفات يتبع المركز.
وأتاح الخلل الوصول إلى ملفات مخزنة على خادم يضم بيانات شخصية لم تكن مشفرة، ما جعل محتوياتها قابلة للاطلاع من جانب المستخدمين الذين تمكنوا من دخول النظام. ولم تفصح وزارة الدفاع عن التفاصيل التقنية للثغرة أو الأسلوب الذي استُخدم لاستغلالها. كما لم تحدد ما إذا كان ما حدث هجوما إلكترونيا تقليديا، أم استغلالا لإعداد أمني خاطئ، أم نتيجة آلية وصول أخرى.
بيانات الهوية والخدمة العسكريّة المتاحة
وأفادت الوزارة بأن التحقيق توصل إلى وجود عدد صغير من المستخدمين غير المصرح لهم، من دون تقديم معلومات إضافية عن هوياتهم أو دوافعهم. وشملت الملفات أرقام الضمان الاجتماعي ومجموعة من البيانات التعريفية التي اختلفت من شخص إلى آخر.
ومن بين المعلومات الواردة فيها الأسماء، وتواريخ الميلاد، وبيانات الاتصال، والجنس، والعرق، إلى جانب معلومات متصلة بالخدمة العسكرية، بما فيها التخصص أو الوظيفة العسكرية التي يشغلها صاحب السجل. وأكدت تقارير إعلامية أن البيانات الموجودة في الملفات لم تكن مشفرة.
وتزداد حساسية الحادثة لأن بعض السجلات تجمع بين أرقام الضمان الاجتماعي وبيانات تعريفية أخرى يمكن استخدامها في تحديد هوية أصحابها، فضلا عن ارتباط جزء من المعلومات بالخدمة داخل المؤسسة العسكرية.
توزيع السجلات المتضررة بين فئات الوزارة وعائلاتها
وقال مسؤول في وزارة الدفاع إن الاختراق أثر على 2.76 مليون شخص على قيد الحياة، إضافة إلى نحو 294 ألف شخص متوفى، ليتجاوز العدد الإجمالي 3 ملايين سجل. وتشمل قاعدة بيانات المركز أفراد الخدمة العسكرية الحاليين والسابقين، والموظفين المدنيين، والمتعاقدين، والمتقاعدين، والمحاربين القدامى، فضلا عن أفراد عائلاتهم.
ويحتفظ مركز بيانات القوى البشرية الدفاعية بأكثر من 60 مليون سجل مرتبط بأفراد وزارة الدفاع وعائلاتهم، إلا أن الوزارة لم تعلن تعرض جميع هذه السجلات للوصول غير المصرح به. وظهرت تقديرات غير رسمية تضع العدد المحتمل للمتضررين عند نحو 4 ملايين شخص، لكن وزارة الدفاع لم تؤكد هذا التقدير.
ويمثل استمرار الوصول منذ أكتوبر/تشرين الأول 2025 حتى اكتشاف الثغرة في يوليو/تموز 2026 إحدى أبرز نقاط الحادث. ولم تقدم الوزارة تفسيرا تفصيليا لعدم رصد النشاط في وقت مبكر، أو توضح آلية المراقبة التي كانت مطبقة على نظام مشاركة الملفات، ولا سبب عدم صدور تنبيه خلال الأشهر التي ظل فيها الوصول قائما.
ولا تتيح المعطيات المنشورة تحديد وجود فشل بعينه في أنظمة الرصد أو المراقبة، إذ يتطلب الوصول إلى مثل هذا الاستنتاج أدلة تقنية إضافية. كما لم يتضح ما إذا كان المستخدمون غير المصرح لهم قد اكتفوا بالاطلاع على الملفات، أم نسخوا جميع البيانات التي تمكنوا من الوصول إليها خلال الفترة المذكورة.
وقالت وزارة الدفاع إنها لا تملك، في الوقت الحالي، مؤشرات تدل على إساءة استخدام المعلومات التي جرى الوصول إليها. وبدأت الوزارة إخطار الأشخاص المتأثرين، كما قدمت لهم خدمات لمراقبة الائتمان واستعادة الهوية لمدة عام، وفقا لإخطار الاختراق الذي راجعته مجلة ميليتاري تايمز.
ولا تقتصر حساسية الملفات على احتوائها على معلومات شخصية، إذ ترتبط كذلك بهويات أفراد الجيش وموظفي وزارة الدفاع، وتخصصاتهم، وعلاقاتهم الوظيفية.
ويضع استمرار الوصول غير المصرح به لأشهر حماية أنظمة مشاركة الملفات، وتشفير البيانات، وآليات اكتشاف السلوك غير المعتاد داخل قواعد البيانات الحكومية واسعة النطاق في صلب التداعيات التقنية للحادث.
