C-Track, cosa sappiamo sull’incidente di cybersicurezza che ha coinvolto tribunali USA e canadesi

Thomson Reuters ha comunicato un incidente di cybersicurezza che ha interessato C-Track, la sua piattaforma di gestione dei fascicoli giudiziari. Secondo l’azienda, una terza parte non autorizzata ha ottenuto alcuni file C-Track nel marzo 2026; l’attività è stata rilevata il 30 giugno 2026. L’episodio ha riguardato clienti giudiziari negli Stati Uniti, nelle Isole Vergini americane e in Ontario, Canada. 1

Quali dati potrebbero essere stati acquisiti

L’intruso ha ottenuto un sottoinsieme di file giudiziari presenti in C-Track. A seconda del tribunale e del fascicolo, questi documenti potevano contenere nomi e dati personali sensibili, tra cui numeri di previdenza sociale statunitense, numeri di patente, date di nascita, informazioni mediche e dati sull’assicurazione sanitaria. Alcuni materiali potevano inoltre includere atti riservati, oscurati o sigillati. 1

La comunicazione non chiarisce quante persone siano state coinvolte, né fornisce un inventario completo dei file interessati. Non è neppure confermato che ogni categoria di dato potenzialmente sensibile sia stata effettivamente visualizzata o sottratta. Al momento della divulgazione non erano stati identificati pubblicamente identità, movente o affiliazione dell’autore dell’attacco; C-Track ha inoltre dichiarato di non avere evidenze di frodi o uso improprio dei dati. 1

Tribunali e territori coinvolti

Negli Stati Uniti, i sistemi giudiziari interessati si trovano in Alabama, Pennsylvania, Kentucky, Montana, Nevada, North Dakota, South Carolina, Tennessee, New Hampshire, Ohio e Wyoming, oltre alle Isole Vergini americane. 1

Tra le strutture segnalate figurano:

• le corti d’appello dell’Alabama;
• in Pennsylvania, l’Environmental Hearing Board, i Courts of Common Pleas delle contee di Monroe e Washington e il Fifth Judicial District;
• sistemi d’appello o corti supreme di Kentucky, Montana, Nevada, North Dakota, Tennessee e New Hampshire;
• la Corte suprema e la Corte d’appello della South Carolina;
• i distretti d’appello dell’Ohio 1–7, 9, 11 e 12;
• la Corte suprema e la Corte superiore delle Isole Vergini americane;
• il ramo giudiziario del Wyoming. 1

In Canada sono stati coinvolti la Court of Appeal for Ontario, la Ontario Superior Court of Justice e la Ontario Court of Justice. I tre chief justices dell’Ontario hanno riconosciuto pubblicamente l’incidente e hanno dichiarato di collaborare con Thomson Reuters/C-Track e con i partner del settore giustizia per valutarne l’impatto sulle informazioni giudiziarie e contattare le persone interessate. 1

Risposta dell’azienda e impatto sui servizi

C-Track ha affermato di aver contenuto l’attività non autorizzata, protetto l’ambiente interessato, introdotto ulteriori misure di sicurezza e avvisato i tribunali clienti coinvolti. L’azienda sostiene che l’incidente non sia stato causato da sistemi o reti dei tribunali e di non aver trovato prove di un coinvolgimento dei sistemi che gestiscono transazioni finanziarie. 1

Le attività dei tribunali sono proseguite e Thomson Reuters ha dichiarato che i servizi C-Track non hanno subito interruzioni. Questo non elimina i dubbi sulla riservatezza dei file ottenuti, ma distingue l’episodio da un blocco dei servizi giudiziari. 1

Assistenza prevista per le persone potenzialmente coinvolte

Per le persone interessate tramite i tribunali statunitensi, C-Track ha previsto 12 mesi di Experian IdentityWorks, con monitoraggio del credito e assistenza per il ripristino dell’identità in caso di furto. Il numero del call center dedicato indicato è 1-833-918-5294, attivo nei giorni feriali dalle 8:00 alle 20:00, ora centrale degli Stati Uniti; gli utenti TTY possono chiamare il 711. 1

Per le persone coinvolte in Canada, C-Track Canada ha previsto 12 mesi gratuiti di TransUnion myTrueIdentity, con monitoraggio del credito, assistenza per il ripristino dell’identità, monitoraggio del dark web e assicurazione per il rimborso di spese ammissibili. Il numero indicato è 1-833-918-4543, nei giorni feriali dalle 8:00 alle 20:00, ora della costa orientale nordamericana. 1

Chi ritiene di poter essere coinvolto dovrebbe fare riferimento alle comunicazioni ricevute dal proprio tribunale o da C-Track, perché requisiti e documenti interessati possono variare a seconda della giurisdizione. Il punto centrale ancora irrisolto è che la divulgazione pubblica conferma l’acquisizione di alcuni file giudiziari, ma non ne definisce l’elenco completo né il numero complessivo delle persone interessate. 1