DMDCは国防総省の管轄下で、軍人と民間人の人事や人員配置、訓練などの記録を管理する組織だ。2025年10月から2026年7月にかけての9カ月間、脆弱なファイル共有システムを通じて、権限のないエンドユーザーが個人を特定できる情報にアクセスし、システムを侵害した。

　影響を受けたデータには、社会保障番号、氏名、生年月日、連絡先、軍での職歴が含まれる。米国防総省によると、このデータ流出の影響を受けたのは、存命の約276万人と約29万4000人の死亡者だ。

　DMDCは2026年7月16日（現地時間）にこの脆弱性を発見した後、該当するシステムにパッチを適用した。米国防総省は2026年10月時点で、具体的なファイル共有技術や脆弱性の内容、アクセスした人物を公表していない。脆弱性に関する迅速な対処はしたものの、大統領令や法的な義務付け、規制に基づく指示の下、20年以上にわたってサイバーセキュリティの近代化を進めてきた組織で、なぜこれほど基本的な防御が崩壊したのかという疑問が残る。

サイバーセキュリティの基本を見直す警告

　国防総省の一部門であるDMDCは、同省の要件に基づくFedRAMP（連邦リスクおよび認証管理プログラム）やFISMA（連邦情報セキュリティ近代化法）、「NIST SP 800-171」といったセキュリティプログラムに準拠しており、サイバーセキュリティの最高水準を象徴する存在だ。国防総省は請負業者に対して、保存データの暗号化ガイドラインを含む「CMMC Level 2」の実施を義務付けている。しかしDMDCの流出事件は、こうした防御策が完全に機能していなかったか、9カ月間の流出期間中に監視の隙を突かれたことを示唆している。

　国家安全保障を担う企業Nightwingでサイバーインシデント対応マネジャーを務めるニコラス・キャロル氏は、連邦政府機関や請負業者に、より強力なセキュリティ対策を講じるべきだと主張する。

　「対策の強化は、規制の厳格化ばかりではない。求められている防御策を確実に導入して維持することが大切だ。機密情報の保存場所やアクセス権限、保護の方法を組織が把握しなければならない」（キャロル氏）

　クラウドおよびデータセキュリティベンダーTerra SecurityのCEO兼共同創設者であるシャハル・ペレド氏は、次のように述べる。「これほど大規模な情報流出が、単一の高度な攻撃で起こることはまれだ。基本的な対策の抜け漏れを突かれるケースが大半を占める」

セキュリティ担当者への教訓は「基本に立ち返ること」

　米国防総省は、2026年10月時点では流出した情報が悪用された証拠は見つかっていないと説明する。しかし、機密性の高い個人情報が一度でも漏えいすれば、長期的なリスクの数値化は困難だ。

　今回の事件は、影響が組織の枠を超えて広がる可能性のある防衛分野や重要インフラにおいて、基本ながらも重要な要件を浮き彫りにした。

　「多層的な防御は、1つの弱点が全てを開放する扉になるのを防ぐのに役立つ」とキャロル氏は説明する。事件が起きないことを期待するのではなく、複数の防御層を維持し、不正な動きを迅速に検出して、攻撃者の到達範囲を制限するといった効果的な対処が求められる。

　キャロル氏は組織のセキュリティ責任者に対して、可視化と責任の所在の明確化から始め、基本的なセキュリティ対策を見直すことを勧める。組織はどのシステムに機密データがあるのかを把握して、それを保護する明確な責任を割り当てるべきだ。保存する必要がなくなった情報は、法的要件や業務要件に従って削除する。外部からアクセス可能なシステムのパッチ適用、特に攻撃者が悪用している脆弱性の修正を優先して、その修正が機能したかどうかを確認しなければならない。

　セキュリティ対策の基本はアクセス管理と暗号化だ。多要素認証（MFA）を全面的に義務付け、ユーザーアカウントやサービスアカウントは必要なアクセス権のみに制限するべきだ。キャロル氏は、保存中および通信中の機密情報を暗号化し、ファイルへのアクセスや権限の変更、異常なダウンロードを監視して、警告を調査する責任を明確にする必要もあると付け加えた。

　セキュリティベンダーGambit Securityの共同創設者であるサアル・エリアス氏は、DMDCでの流出事件は、特に公的機関におけるセキュリティ上の失敗が広範な影響を及ぼすことを思い知らせるものだとの見解を示す。

　「DMDCのような事件で浮き彫りになった脆弱性は、データ流出にとどまらない。そのシステムに依存するサービスや運用プロセス、重要な任務を危険にさらす恐れがある」（エリアス氏）