해커, 펜타곤 인사 기록 300만 명 분량 탈취

펜타곤의 국방인력데이터센터(DMDC, Defense Manpower Data Center)가 2025년 10월 펜타곤 인사관리시스템(HR management system)이 침해된 후 해커들이 데이터를 탈취했다는 사실을 수백만 명의 군 복무자들에게 통보하고 있다.

1974년 설립된 DMDC는 혜택 및 수당 승인, 그리고 훈련·재정 등 미 국방부(DoD)를 위한 다양한 데이터에 사용되는 6천만 건 이상의 군인, 민간인, 계약자, 가족, 퇴역군인, 재향군인 기록을 보관하는 운영 지원 센터다.

DMDC는 "우리가 제공하는 서비스와 데이터 접근은 입법부, 인적서비스, 국가방위, 노동, 의료, 재정, 재향군인 업무, 연구 등 매우 다양한 핵심 정부 기관을 지원합니다"라고 밝혔다.

DMDC는 또한 국방부 인사 프로그램을 운영하고, 국방부 차관실(OUSD, Office of the Secretary of Defense)의 지시에 따라 연구 및 분석을 수행한다.

DMDC는 피해를 입은 군 복무자들에게 "소수의 미승인 사용자"가 파일 공유 시스템의 취약점을 악용해 2025년 10월부터 2026년 7월 사이에 개인식별정보(PII)를 포함한 민감 데이터에 접근했다고 밝혔다.

온라인에 공유된 피해자들의 데이터 유출 통지서에 따르면, 유출된 데이터는 개인마다 다르지만 사회보장번호(SSN), 이름, 생년월일, 연락처, 성별, 인종, 군 복무 정보가 포함된다.

펜타곤 관계자는 Federal News Network에 이번 데이터 유출이 생존자 약 280만 명과 "사망자" 29만 4천 명을 포함해 300만 명 이상에게 영향을 미친다고 밝혔다.

DMDC는 피해자들에게 "보안 취약점을 발견한 즉시 DMDC는 관리예산실(OMB) 및 국방부의 지침과 정책에 따라 개인정보보호 및 사이버보안 사고 대응 조치를 즉시 시작했습니다"라며 "우리는 DMDC 시스템의 사이버보안 태세를 평가하고 강화하기 위한 적절한 조치를 취하고 있습니다"라고 전했다.

펜타곤은 또한 데이터 유출 및 복구 서비스 제공업체인 IDX를 통해 12개월 무료 신용 모니터링 서비스를 제공하고 있으며, 피해자는 2027년 8월 19일까지 등록해야 한다고 밝혔다.

BleepingComputer가 이번 유출에 대한 추가 정보를 요청했을 때 펜타곤 대변인은 즉시 답변하지 않았다.

이번 사건은 ShinyHunters 갈취 조직이 오라클 PeopleSoft 제로데이(zero-day) 취약점을 이용해 FBI의 FBIjobs.gov 사이트를 침해했다고 주장한 또 다른 대규모 데이터 유출 사건에 이어 발생했다.

ShinyHunters는 "거의 모든 FBI 요원"에 속한 이름, 사회보장번호, 자택 주소, 배치 정보 등을 포함해 해킹 작전에 관여하는 팀인 FBI 원격작전부서(FBI Remote Operations Unit) 소속 직원 기록을 포함한 수 테라바이트(terabyte) 규모의 데이터를 탈취했다고 주장했다.

ShinyHunters는 BleepingComputer에 FBI 침해 사건이 금전적 동기에 의한 것이 아니며, 탈취한 데이터를 공개하거나 FBI를 협박할 의도가 없다고 밝혔다.