Thomson Reuters expõe décadas de dados judiciais em 12 estados

O incidente não é um vazamento direto de sistemas do Wyoming Judicial Branch: é uma falha no fornecedor. A West Publishing Corporation (subsidiária da Thomson Reuters que comercializa o C-Track) mantinha cópias de backup dos dados judiciais em sua própria infraestrutura de nuvem — dados fornecidos pelos tribunais para fins de resolução de problemas técnicos. Um agente não identificado acessou esses backups entre março e 30 de junho de 2026, por 92 dias sem ser detectado. Como Montana deixou explícito em seu comunicado oficial, a vulnerabilidade estava nos sistemas da Thomson Reuters, não nas redes dos tribunais estaduais.

A distinção entre o que o Wyoming admite e o que o fornecedor admite é importante. O Wyoming Judicial Branch confirmou exposição de nome, endereço e data de nascimento para casos entre 2015 e 2025, e afirmou que, 'ao melhor de seu conhecimento, nenhum documento foi comprometido'. A West Publishing, por sua vez, admite em seu comunicado geral que os registros afetados podem incluir SSN, número de habilitação, informações médicas, informações de plano de saúde, e que registros confidenciais, redigidos ou selados podem ter sido comprometidos em alguns tribunais. Essa divergência não é necessariamente contradição: pode refletir exposição diferenciada por estado, dado que cada tribunal usava o C-Track em configurações distintas. O Wyoming ainda aguarda a análise forense completa para confirmar se a exposição foi mesmo limitada ao conjunto menos sensível.

O atraso de 64 dias entre a detecção (30 de junho) e a divulgação pública (2 de setembro) é o dado mais difícil de justificar. A Thomson Reuters alega que o prazo foi utilizado para investigação e divulgação coordenada com os tribunais afetados — e Montana confirma que a data foi acordada entre as partes. Mas esse argumento opera dentro de uma zona de conforto legal: Wyoming não exige notificação a agências reguladoras estaduais nem tem prazo fixo de dias para notificação individual. A lei estadual exige apenas notificação 'sem atraso injustificado' após determinação de que uso indevido ocorreu ou é razoavelmente provável. A Thomson Reuters ainda não reconheceu publicamente que uso indevido ocorreu ou é provável — o que, estrategicamente, posterga a obrigação formal de notificação individual.

O vetor técnico do ataque não foi divulgado publicamente. Thomson Reuters não disse como o agressor obteve acesso inicial, quem é o responsável, nem quantos registros foram exfiltrados. O The Record (Recorded Future News) confirmou que a empresa não revelou nenhum desses três pontos. Isso é uma lacuna crítica: sem conhecer o método de entrada, não é possível avaliar se outros deployments do C-Track — ou de sistemas similares da Thomson Reuters — estão igualmente expostos. A análise de risco para qualquer outro tribunal usando a plataforma permanece incompleta.

Um detalhe estrutural relevante: o Wyoming já havia substituído o C-Track por outro sistema no momento da divulgação. Isso explica o enquadramento 'sistema que utilizávamos anteriormente' no comunicado do WJB — e levanta a questão de por quanto tempo dados históricos de ex-clientes permanecem em infraestrutura de fornecedores após a transição, sem controle por parte dos titulares institucionais dos dados. A Montana descreveu os dados comprometidos como 'backup data... supplied to TR for the purpose of troubleshooting the applications' — ou seja, cópias retidas pelo fornecedor para uso operacional próprio, não por exigência dos tribunais.

O Wyoming Judicial Branch confirmou que dados de casos entre 2015 e 2025 nos tribunais distritais e na Suprema Corte do Wyoming foram expostos, incluindo nome, endereço e data de nascimento. O número exato de pessoas afetadas no estado não foi divulgado. Em âmbito nacional, o incidente abrange 24 organizações judiciais em 12 estados dos EUA (Alabama, Pennsylvania, Kentucky, Montana, Nevada, North Dakota, South Carolina, Tennessee, Ohio, New Hampshire, Oregon e Wyoming), as Ilhas Virgens norte-americanas e três tribunais de Ontario, Canadá. Para além de Wyoming, o fornecedor admite que SSN, dados médicos e registros selados podem ter sido comprometidos em outros estados. Registros selados podem conter endereços de vítimas de violência doméstica, identidades de informantes e dados de testemunhas protegidas — categorias para as quais não existe mecanismo de remediação equivalente ao monitoramento de crédito. O Wyoming Judicial Branch já alertou sobre golpistas que, após a divulgação do incidente, passaram a contatar usuários dos tribunais se passando por funcionários e solicitando pagamento de fiança por aplicativos de pagamento.