Ce que l’on sait de l’incident de cybersécurité visant C-Track de Thomson Reuters

Thomson Reuters a signalé un incident de cybersécurité touchant C-Track, sa plateforme de gestion des dossiers judiciaires. Selon l’entreprise, un tiers non autorisé a obtenu certains fichiers C-Track en mars 2026. L’activité a été détectée le 30 juin 2026, soit plusieurs mois plus tard. Des clients judiciaires aux États-Unis, dans les îles Vierges américaines et en Ontario, au Canada, sont concernés. 1

Quelles données pourraient avoir été consultées ?

L’intrus a obtenu un sous-ensemble de fichiers judiciaires hébergés dans C-Track. Selon les tribunaux et les dossiers concernés, ces documents pouvaient contenir des noms ainsi que des données personnelles sensibles : numéros de sécurité sociale américains, numéros de permis de conduire, dates de naissance, informations médicales et informations d’assurance maladie. Certains documents pouvaient aussi relever du secret, avoir été caviardés ou placés sous scellés. 1

À ce stade, la communication publique ne permet pas de savoir combien de personnes sont touchées, quels fichiers précis ont été obtenus, ni si toutes les données potentiellement sensibles présentes dans ces fichiers ont effectivement été consultées ou exfiltrées. L’identité, le mobile et une éventuelle affiliation des auteurs n’avaient pas été rendus publics. C-Track indiquait également ne disposer d’aucun élément prouvant une fraude ou une utilisation abusive des données. 1

Les juridictions touchées

Aux États-Unis, l’incident concerne des systèmes judiciaires en Alabama, Pennsylvanie, Kentucky, Montana, Nevada, Dakota du Nord, Caroline du Sud, Tennessee, New Hampshire, Ohio et Wyoming, ainsi que dans les îles Vierges américaines. 1

Parmi les systèmes cités figurent :

• les cours d’appel de l’Alabama ;
• en Pennsylvanie, l’Environmental Hearing Board, les cours de droit commun des comtés de Monroe et de Washington, ainsi que le Fifth Judicial District ;
• les systèmes de cours suprêmes ou d’appel du Kentucky, du Montana, du Nevada, du Dakota du Nord, du Tennessee et du New Hampshire ;
• la Cour suprême et la cour d’appel de Caroline du Sud ;
• les districts d’appel 1 à 7, 9, 11 et 12 de l’Ohio ;
• la Cour suprême et la Cour supérieure des îles Vierges américaines ;
• l’administration judiciaire du Wyoming. 1

Au Canada, les tribunaux concernés sont la Cour d’appel de l’Ontario, la Cour supérieure de justice de l’Ontario et la Cour de justice de l’Ontario. Les trois juges en chef de la province ont reconnu publiquement l’incident. Ils ont indiqué travailler avec Thomson Reuters/C-Track et des partenaires du secteur de la justice afin d’en mesurer les conséquences sur les informations judiciaires et de joindre les personnes concernées. 1

Quel a été l’impact sur les tribunaux ?

C-Track affirme avoir contenu l’activité non autorisée, sécurisé l’environnement affecté, ajouté des mesures de sécurité et averti les clients judiciaires concernés. L’entreprise précise que l’incident ne provenait pas des réseaux ou systèmes propres aux tribunaux et qu’elle n’a relevé aucun signe d’atteinte aux systèmes traitant les opérations financières. 1

Les activités des tribunaux se sont poursuivies et Thomson Reuters indique que les services C-Track n’ont pas été interrompus. Cette continuité opérationnelle ne règle pas les questions de confidentialité liées aux dossiers obtenus, mais elle distingue l’incident d’une panne des services judiciaires. 1

Assistance annoncée pour les personnes potentiellement concernées

Pour les personnes concernées via les tribunaux américains, C-Track prévoyait de proposer 12 mois d’Experian IdentityWorks, incluant une surveillance du crédit et une aide à la restauration de l’identité en cas d’usurpation. Le centre d’appel lié à l’incident était joignable au 1-833-918-5294, en semaine de 8 h à 20 h, heure du Centre des États-Unis ; les utilisateurs de TTY pouvaient composer le 711. 1

Au Canada, C-Track Canada prévoyait d’offrir 12 mois d’adhésion gratuite à TransUnion myTrueIdentity. Le dispositif comprend une surveillance du crédit, une aide à la restauration de l’identité, une surveillance du dark web et une assurance de remboursement de certains frais admissibles. Le numéro communiqué est le 1-833-918-4543, en semaine de 8 h à 20 h, heure de l’Est. 1

Les personnes susceptibles d’être concernées sont invitées à se référer à l’avis reçu de leur tribunal ou de C-Track : l’éligibilité à l’assistance et la nature des documents en cause peuvent varier selon la juridiction. L’inconnue centrale demeure l’étendue exacte des fichiers obtenus et du nombre de personnes affectées. 1