Thomson Reuters: breach C-Track espone dati giudiziari in 11 Stati e Ontario

🛡️ Executive Summary

• Un soggetto non autorizzato ha ottenuto file da C-Track, piattaforma Thomson Reuters usata da numerosi tribunali statunitensi e canadesi.
• I dati possono includere nomi, SSN, patenti, date di nascita, informazioni mediche e, per alcuni tribunali, documenti confidenziali o sigillati.
• L’accesso risale a marzo 2026 ma l’attività è stata scoperta il 30 giugno; alcune corti descrivono esposizioni di backup e piattaforme di produzione.

Thomson Reuters ha confermato una violazione della piattaforma giudiziaria C-Track, gestita dalla controllata West Publishing Corporation, dopo che un soggetto non autorizzato ha ottenuto file associati a numerosi sistemi giudiziari nordamericani. L’incidente coinvolge tribunali in 11 Stati USA, le Isole Vergini americane e l’Ontario, con informazioni potenzialmente molto sensibili: nomi, Social Security Number, numeri di patente, date di nascita, dati medici e assicurativi e, per alcune corti, materiale confidenziale, oscurato o sottoposto a sigillo. Thomson Reuters ha individuato l’attività il 30 giugno 2026, ma l’accesso ai dati risale almeno al marzo precedente.

C-Track conferma che un soggetto non autorizzato ha ottenuto file dei tribunali

La comunicazione centrale arriva dal portale ufficiale predisposto da C-Track per l’incidente. West Publishing afferma di avere rilevato il 30 giugno attività non autorizzata di una terza parte riguardante informazioni presenti nei propri sistemi e di avere avviato un’indagine con esperti esterni e forze dell’ordine. Le verifiche hanno successivamente stabilito che nel marzo 2026 l’attaccante aveva ottenuto determinati file C-Track associati ai sistemi giudiziari coinvolti. Nell’elenco figurano, tra gli altri, le corti d’appello dell’Alabama e del Kentucky, la Montana Supreme Court, le corti d’appello del Nevada, North Dakota e South Carolina, la Tennessee Appellate Court Clerk’s Office, la New Hampshire Supreme Court, dieci distretti d’appello dell’Ohio, la Wyoming Judicial Branch e le corti Supreme e Superior delle Isole Vergini. Il caso mostra ancora una volta come il perimetro dei dati critici possa trovarsi nei sistemi di un fornitore esterno e non necessariamente nelle infrastrutture direttamente amministrate dall’ente pubblico.

Leggi anche: Microsoft MECM nei tribunali: il rischio del controllo remoto e la risposta di ACN

Social Security Number, patenti e dati sanitari possono essere finiti nei file sottratti

La natura delle informazioni rende l’incidente più delicato di una semplice esposizione di documenti giudiziari pubblici. Secondo C-Track, un sottoinsieme dei record interessati potrebbe contenere nomi associati a Social Security Number, numeri di patente, informazioni mediche, date di nascita e dati sull’assicurazione sanitaria. Per alcuni tribunali possono inoltre essere stati coinvolti elementi confidenziali, informazioni precedentemente oscurate e documenti sigillati. West Publishing precisa di non avere finora evidenze di frodi o utilizzi impropri delle informazioni e afferma che i sistemi impiegati per elaborare transazioni finanziarie non risultano compromessi. Questo non elimina il rischio residuo: l’associazione tra dati identificativi, informazioni giudiziarie e documentazione medica può aumentare significativamente l’efficacia di phishing mirato, impersonificazione e furto d’identità, una dinamica già evidente nel breach di TeamSystem che ha esposto dati anagrafici, IBAN e informazioni sulle movimentazioni.

Il Montana conferma che erano backup conservati sui server Thomson Reuters

Le comunicazioni delle singole corti aggiungono dettagli che il notice generale non rende immediatamente visibili. La Montana Supreme Court ha spiegato nel proprio comunicato ufficiale che l’accesso non autorizzato ha coinvolto backup dei dati di C-Track ed E-Filing custoditi sui server Thomson Reuters. Secondo la corte, l’accesso è iniziato nel marzo 2026 ed è terminato a giugno, mentre il Montana è stato informato il 23 luglio. La documentazione interessata deriva da copie dei database consegnate al fornitore anche per attività di troubleshooting. L’analisi preliminare indica che gran parte del materiale era pubblico, ma il team tecnico ha già individuato Personally Identifiable Information, tra cui numeri di patente e date di nascita. La distinzione è rilevante perché dimostra che il problema non riguarda soltanto l’applicazione utilizzata quotidianamente dai tribunali: anche copie, backup e dataset affidati al vendor per supporto tecnico possono diventare parte della superficie di esposizione.

In Ohio l’accesso ha invece raggiunto la piattaforma di produzione

Il quadro non sembra essere identico per tutti i clienti. La Supreme Court of Ohio ha dichiarato che Thomson Reuters Court Management Solutions l’ha informata il 31 agosto che l’accesso non autorizzato era avvenuto sulla production platform della corte. L’ambiente ospita i dati del sistema di filing utilizzato da dieci delle dodici corti d’appello dell’Ohio, con l’Ottavo e il Decimo distretto esclusi perché non utilizzano C-Track. La corte non ha ancora determinato l’estensione delle informazioni personali effettivamente esposte né le identità delle persone coinvolte e afferma di non avere ancora ricevuto dettagli completi sulle misure di sicurezza aggiuntive implementate dal fornitore. Questo elemento impedisce di descrivere l’incidente semplicemente come una perdita di backup centralizzati: almeno un cliente istituzionale parla esplicitamente di accesso alla piattaforma produttiva, suggerendo che il perimetro tecnico possa differire a seconda dell’implementazione C-Track.

L’Ontario coinvolge tre livelli della giustizia ma i tribunali restano operativi

Anche le tre principali corti dell’Ontario hanno pubblicato una dichiarazione congiunta sull’incidente. Court of Appeal for Ontario, Ontario Superior Court of Justice e Ontario Court of Justice utilizzano C-Track per conservare e gestire parte dei documenti e dei record giudiziari. Thomson Reuters Canada ha comunicato al Ministero dell’Attorney General il 23 luglio che alcuni dati delle corti rientravano nel materiale raggiunto dall’attaccante. Il numero delle persone interessate e il contenuto esatto dei file rimangono in fase di verifica. Le autorità specificano tuttavia che C-Track continua a essere operativo e considerato utilizzabile e che il breach non ha interrotto la capacità delle corti di celebrare procedimenti e assumere decisioni. Anche l’incidente LexisNexis già emerso nel settore dei servizi informativi e dei dati professionali aveva mostrato quanto i fornitori che aggregano informazioni ad alto valore costituiscano obiettivi privilegiati indipendentemente dalla continuità operativa del servizio.

Il problema non nasce dalle reti delle corti ma dalla concentrazione presso il fornitore

C-Track e diversi sistemi giudiziari insistono su un punto: l’incidente non sarebbe stato causato dalle reti o dalle pratiche di sicurezza delle singole corti. La Nevada Appellate Courts attribuisce l’evento a una porzione dell’ambiente IT del vendor, mentre altre amministrazioni hanno assunto misure autonome per contenere il rischio. L’assenza di una compromissione diretta dei tribunali non rende però il problema meno sistemico. Al contrario, mette in evidenza il modello di rischio derivante dalla concentrazione: un singolo fornitore di case management può conservare o gestire dati provenienti contemporaneamente da decine di istituzioni giudiziarie, rendendo una compromissione della piattaforma capace di propagare l’impatto oltre i confini di uno Stato. È la stessa logica che rende critici CRM, gestionali cloud e piattaforme sanitarie: quando il vendor diventa nodo centrale dell’infrastruttura informativa, la sicurezza del dato dipende anche dalla sua governance, dai backup e dalle copie operative conservate fuori dal sistema originario.

Continua con:

• DGFiP, Philips, GE, Wesco e LexisNexis affrontano incidenti cyber e violazioni cloud
• CareCloud espone milioni di persone dopo l’accesso non autorizzato a un ambiente AWS

Tre mesi tra l’accesso e la scoperta restano il dato più critico dell’incidente

Thomson Reuters afferma di avere contenuto l’attività, coinvolto specialisti esterni e forze dell’ordine e introdotto ulteriori misure di sicurezza, ma non ha ancora divulgato vettore iniziale, credenziali eventualmente compromesse, vulnerabilità sfruttate, identità dell’attore o volume complessivo dei dati sottratti. Il fatto certo è la distanza temporale: l’attaccante ha ottenuto file a partire da marzo e l’attività è stata rilevata soltanto il 30 giugno, con alcune corti informate diverse settimane dopo. West Publishing offre ora 12 mesi di monitoraggio Experian IdentityWorks alle persone potenzialmente coinvolte negli Stati Uniti. La questione principale resta però strutturale: C-Track dimostra che la digitalizzazione della giustizia crea un patrimonio centralizzato nel quale fascicoli, dati personali e documentazione riservata possono convergere presso soggetti terzi. Quando quella piattaforma viene violata, non viene colpito soltanto un software: viene esposta una parte dell’infrastruttura documentale su cui si regge il funzionamento della giustizia digitale.