Acesso de três meses a dados judiciais selados nos EUA e Canadá
A Thomson Reuters confirmou que um ator não identificado acessou arquivos do C-Track — sua plataforma de gestão processual — entre março e junho de 2026, comprometendo dados de tribunais em pelo menos 11 estados americanos, Ilhas Virgens dos EUA e três cortes de Ontário (Canadá). O número de pessoas afetadas e o vetor de acesso ainda não foram divulgados publicamente, mas a empresa admite que SSNs, dados médicos e documentos judiciais selados podem estar entre o material exfiltrado.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O incidente é real e foi confirmado pela própria Thomson Reuters (via West Publishing) e por múltiplas cortes estaduais e canadenses. Não há indício de bluff ou dados reciclados.
O acesso durou aproximadamente quatro meses (março a junho de 2026) antes de ser detectado em 30 de junho, sugerindo ausência ou falha grave de monitoramento contínuo no ambiente cloud da empresa.
Existe uma contradição relevante e ainda não resolvida sobre o ambiente comprometido: Alabama declarou que o acesso ocorreu em um backup não solicitado e desconhecido pelas cortes; Ohio declarou que o acesso foi na plataforma de produção. Se ambos estiverem corretos, a superfície de exposição é maior do que o comunicado central sugere.
Minnesota confirmou exposição e encerrou o acesso da Thomson Reuters ao seu ambiente, mas não consta na lista oficial da West Publishing — o que indica que o escopo geográfico divulgado pode estar subestimado.
Nenhum grupo reivindicou o ataque e os dados não foram anunciados em fóruns ou dark web até o momento da publicação. Isso é consistente tanto com um ator de motivação financeira ainda em negociação quanto com espionagem silenciosa — não é possível distinguir com as evidências disponíveis.
A presença de documentos judiciais selados (ordens protetivas, processos de menores, laudos médicos em autos) eleva o risco real para indivíduos muito acima do que um vazamento de dados cadastrais convencionais, independentemente do volume total de registros.
Análisis
A Thomson Reuters confirmou o incidente por meio de sua subsidiária West Publishing, que opera o C-Track — plataforma SaaS de gestão processual usada por tribunais de apelação em múltiplos estados americanos e pela justiça de Ontário. A empresa admite que um terceiro não autorizado obteve arquivos C-Track em março de 2026; a detecção só ocorreu em 30 de junho, quase quatro meses depois. A janela de persistência é o elemento mais preocupante do caso: ou o ator se moveu de forma extremamente silenciosa, ou os controles de detecção no ambiente cloud eram insuficientes para cargas de trabalho judiciais sensíveis.
O comunicado corporativo central é deliberadamente vago no que importa: não informa o vetor de entrada, não quantifica o volume de dados, não identifica o responsável. A empresa afirma que não há evidência de uso fraudulento dos dados até o momento e que sistemas de transações financeiras não foram afetados. Essas são afirmações negativas com valor limitado: a ausência de evidência de uso fraudulento não equivale a ausência de exfiltração, especialmente com dados de natureza judicial que têm valor de longo prazo para fins de extorsão, espionagem ou manipulação de processos.
Há uma contradição factual relevante entre os relatos das cortes afetadas que a Thomson Reuters não esclareceu publicamente. O Alabama declarou que o acesso ocorreu em um arquivo de backup armazenado na nuvem da Thomson Reuters — um backup que as próprias cortes afirmaram não ter solicitado nem ter conhecimento de sua existência. O Ohio, por sua vez, declarou que a Thomson Reuters informou que o acesso ocorreu na plataforma de produção. Se ambas as versões estiverem corretas, o incidente envolveu pelo menos dois ambientes distintos, o que muda materialmente a análise de risco e a superfície de exposição.
O escopo geográfico oficial (lista da West Publishing: 11 estados + Ilhas Virgens dos EUA + Ontário) provavelmente está incompleto. Minnesota confirmou exposição independentemente, mas não consta na lista oficial. Oregon também confirmou impacto em suas cortes de apelação. A discrepância entre a lista da empresa e as confirmações independentes é um sinal de que a investigação ainda está em curso e que o mapa de impacto pode crescer. Veículos com apuração independente registraram até 12 jurisdições americanas mais Ontário.
O tipo de dado em risco distingue este incidente de um vazamento cadastral comum. Arquivos de cortes de apelação contêm ordens protetivas (com endereços de pessoas em situação de risco), processos de menores, laudos médicos juntados a autos, depoimentos com dados de saúde. A Montana Supreme Court informou que o material acessado incluía dados de backup de seus sistemas de apelação e e-filing — bancos de dados fornecidos à Thomson Reuters para fins de diagnóstico técnico. Isso levanta uma questão de governança de dados: o cliente judicial sabia que cópias de seus dados de produção estavam armazenadas nos servidores do fornecedor para troubleshooting? O Alabama expressamente disse que não.
Nenhum grupo reivindicou publicamente o ataque até a data deste relatório, e não há anúncio de venda ou publicação de dados em fóruns monitorados. Isso pode indicar: (a) negociação em andamento; (b) ator de estado que não tem interesse em publicidade; ou (c) incidente ainda em investigação ativa pelas autoridades. A motivação permanece desconhecida e qualquer especulação sobre atribuição sem evidência técnica seria irresponsável.
Cronología
- 01 mar 2026Início do acesso não autorizado aos arquivos C-Track, conforme notificação da West Publishing ao Alabama (acesso de 1º de março a 29 de junho).
- 29 jun 2026Data final do período de acesso não autorizado, conforme relato da corte do Alabama sobre a notificação do fornecedor.
- 30 jun 2026Thomson Reuters detecta atividade não autorizada em ambiente cloud e inicia investigação com especialistas externos e comunicação com autoridades policiais.
- 23 jul 2026Thomson Reuters notifica o administrador das cortes de Montana e o Ministério do Procurador-Geral de Ontário sobre o acesso a dados das respectivas jurisdições.
- 31 ago 2026Thomson Reuters Court Management Solutions notifica a Suprema Corte de Ohio de que o acesso não autorizado ocorreu na plataforma de produção — divergindo do relato de Alabama sobre backup.
- 02 sep 2026Divulgação pública pelo Ramo Judicial de Minnesota, que encerra o acesso da Thomson Reuters ao seu ambiente e exige troca de senhas dos usuários. Publicação do site de notificação ctracknotification.com pela West Publishing.
- 03 sep 2026Thomson Reuters publica comunicado oficial e páginas de notificação separadas para EUA e Canadá. Os chefes de justiça das três cortes de Ontário emitem declaração conjunta confirmando o incidente.
Datos involucrados
Impacto
Tribunais de apelação em Alabama, Pennsylvania, Kentucky, Montana, Nevada, North Dakota, South Carolina, Tennessee, Ohio, New Hampshire, Wyoming, Ilhas Virgens dos EUA e três cortes de Ontário (Canadá) tiveram arquivos acessados. Minnesota e Oregon confirmaram impacto mas não constam na lista oficial. Os dados potencialmente expostos incluem nomes, SSNs (número de seguridade social dos EUA), números de CNH, datas de nascimento, informações médicas e de planos de saúde, além de documentos judiciais selados ou restritos. As pessoas afetadas são litigantes, réus, vítimas e testemunhas que nunca tiveram relação comercial direta com a Thomson Reuters — seus dados chegaram à empresa por obrigação processual, sem escolha. O número total de indivíduos afetados não foi divulgado. A Thomson Reuters oferece 12 meses de monitoramento de crédito via Experian (EUA) e TransUnion (Canadá). O Minnesota encerrou o acesso da Thomson Reuters ao seu ambiente eletrônico e exigiu troca de senhas.
Recomendaciones
- Cortes que usam C-Track ou qualquer produto Thomson Reuters devem auditar imediatamente quais dados foram compartilhados com o fornecedor para fins de suporte ou diagnóstico — e se existem cópias de backup não solicitadas armazenadas fora do ambiente judicial.
- Rever contratos SaaS com fornecedores de gestão processual para incluir cláusulas explícitas sobre retenção, localização e destruição de cópias de dados enviadas para troubleshooting; exigir notificação em prazo definido (recomendável: 72h após descoberta).
- Implementar monitoramento de acesso baseado em anomalia (volume incomum de leituras, padrões de acesso fora do horário ou perfil de uso) nos ambientes cloud que hospedam dados judiciais — a janela de quatro meses sem detecção indica ausência ou falha desse controle.
- Indivíduos que aparecem em autos das jurisdições afetadas e cujos dados incluam ordens protetivas ou documentos selados devem ser notificados com prioridade e com orientação específica — não apenas monitoramento de crédito, que não cobre o risco de revelação de localização em casos de proteção.
- Avaliar a segmentação de dados entre instâncias de múltiplos clientes no C-Track: se o acesso em um único ponto comprometeu dados de mais de 24 tribunais em duas jurisdições nacionais, a arquitetura multitenante merece revisão de isolamento.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Vetor de acesso inicial: a Thomson Reuters não divulgou como o ator entrou — credencial comprometida, vulnerabilidade em aplicação, misconfiguration em storage? A divulgação do vetor é o mínimo para que as outras cortes clientes avaliem seu próprio risco.
Ambiente comprometido: backup vs. produção — a contradição entre os relatos de Alabama e Ohio não foi respondida pela empresa. Uma declaração técnica unificada resolveria a lacuna.
Escopo real de jurisdições: a lista oficial da West Publishing e as confirmações independentes divergem. Uma lista completa e atualizada só virá com o encerramento da investigação.
Volume de dados exfiltrados: nenhum número de registros ou gigabytes foi divulgado. Sem isso, a análise de risco individual é impossível.
Atribuição: nenhum grupo assumiu a autoria; sem IoCs ou TTPs publicados por Thomson Reuters ou por pesquisadores independentes que permitam atribuição mesmo de baixa confiança.
Resposta regulatória: não há manifestação pública de nenhum procurador-geral estadual, do OPC (Office of the Privacy Commissioner do Canadá) ou de outra autoridade regulatória até o momento da publicação deste relatório. A abertura de investigações regulatórias resolveria a lacuna sobre obrigações legais já descumpridas.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.