何が起きたか
この事故で流出した、または流出したおそれがある情報は、社会保障番号、氏名、生年月日、連絡先、属性情報、軍の職種などの人事情報。人によって項目は異なる。約305万人（生存者約276万人、死亡者約29万4000人）です。その後の対応と影響は、2026年7月16日に脆弱性を見つけて修正した。9月18日付の通知書を対象者に送り、IDXによる12か月分の信用情報の監視サービスを提供した。悪用された形跡は見つかっていないと説明している。誰が接続したかは公表されていないです。
原因になったのは「ファイル共有システムの脆弱性」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
ファイル共有システムの脆弱性を使い、権限の無い少数の利用者がファイルに接続した。
- 1つ外側 流出した情報報道
社会保障番号、氏名、生年月日、連絡先、属性情報、軍の職種などの人事情報。人によって項目は異なる。約305万人（生存者約276万人、死亡者約29万4000人）。
- いちばん外側 その後の対応と影響確定
2026年7月16日に脆弱性を見つけて修正した。9月18日付の通知書を対象者に送り、IDXによる12か月分の信用情報の監視サービスを提供した。悪用された形跡は見つかっていないと説明している。誰が接続したかは公表されていない。
なぜ起きたか
通知書では、ファイル共有システムに脆弱性があり、権限の無い利用者が約9か月にわたりファイルに接続できた。サーバー上の個人情報は暗号化されていなかったと報道された。脆弱性の内容と製品名は公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2025年10月権限の無い利用者がファイル共有システム上のファイルに接続し始める
- 2026年7月16日機関が脆弱性を見つけ、修正する
- 2026年9月18日対象者への通知書が送られる
- 2026年9月24日軍事専門紙が通知の内容を報じる
- 2026年9月28日国防総省の当局者が対象を約305万人と説明する
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）外部と共有するファイルサーバーの脆弱性情報を定期的に確認して早く修正し、保存する個人情報を暗号化していれば、接続された期間と被害の範囲を小さくできた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 社外とファイルをやり取りするシステム（ファイル共有・転送サービス）を一覧にし、製品名と版を記録する
- 各製品の脆弱性情報を誰がいつ確認し、何日以内に修正するかを決めて記録する
- 共有サーバーに置いている個人情報が暗号化されているか、接続の記録が残っているかを確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- Military personnel data exposed in breach, agency warns（Military Times）2026.09.24
- More than 3 million people affected by military data breach（Federal News Network）2026.09.28
- Pentagon Personnel Agency Data Breach Impacts 3 Million People（SecurityWeek）2026.09.29
