Co wydarzyło się w incydencie cyberbezpieczeństwa C-Track?

Thomson Reuters ujawnił incydent cyberbezpieczeństwa dotyczący C-Track — platformy do zarządzania sprawami sądowymi. Według firmy nieuprawniona strona pozyskała część plików C-Track w marcu 2026 r., a podejrzaną aktywność wykryto 30 czerwca 2026 r. Incydent objął klientów sądowych w Stanach Zjednoczonych, na Wyspach Dziewiczych Stanów Zjednoczonych oraz w kanadyjskiej prowincji Ontario. 1

Jakie dane mogły trafić w niepowołane ręce

Firma przekazała, że intruz uzyskał część plików sądowych przechowywanych w C-Track. W zależności od sądu i konkretnego pliku materiały te mogły zawierać imiona i nazwiska oraz wrażliwe dane osobowe, takie jak numery Social Security, numery praw jazdy, daty urodzenia, informacje medyczne i dane o ubezpieczeniu zdrowotnym. W niektórych przypadkach mogły wśród nich być także dokumenty poufne, zanonimizowane lub objęte utajnieniem. 1

Publiczne komunikaty nie wskazywały jednak liczby osób dotkniętych zdarzeniem ani pełnej listy pozyskanych plików. Nie potwierdzono też, że każdy potencjalnie wrażliwy element danych został faktycznie wyświetlony lub skopiowany. W chwili ujawnienia sprawy nie podano publicznie tożsamości, motywu ani powiązań sprawcy, a C-Track nie stwierdził dowodów oszustwa lub niewłaściwego wykorzystania informacji. 1

Które sądy zostały objęte incydentem

W USA dotyczyło to systemów sądowych w stanach: Alabama, Pensylwania, Kentucky, Montana, Nevada, Dakota Północna, Karolina Południowa, Tennessee, New Hampshire, Ohio i Wyoming, a także na Wyspach Dziewiczych Stanów Zjednoczonych. 1

Wśród zgłoszonych systemów znalazły się:

• sądy apelacyjne Alabamy;
• w Pensylwanii: Environmental Hearing Board, sądy powszechne hrabstw Monroe i Washington oraz Piąty Okręg Sądowy;
• sądy apelacyjne lub sądy najwyższe w Kentucky, Montanie, Nevadzie, Dakocie Północnej, Tennessee i New Hampshire;
• Sąd Najwyższy i Sąd Apelacyjny Karoliny Południowej;
• okręgi apelacyjne Ohio nr 1–7, 9, 11 i 12;
• Sąd Najwyższy i Sąd Wyższy Wysp Dziewiczych Stanów Zjednoczonych;
• sądownictwo stanu Wyoming. 1

W Kanadzie incydent dotknął Sąd Apelacyjny Ontario, Sąd Najwyższy Ontario oraz Sąd Ontario. Trzej prezesi tych sądów publicznie potwierdzili zdarzenie i zapowiedzieli współpracę z Thomson Reuters/C-Track oraz partnerami z sektora wymiaru sprawiedliwości przy badaniu skutków dla informacji sądowych i kontaktowaniu się z osobami potencjalnie poszkodowanymi. 1

Reakcja firmy i wpływ na działanie sądów

C-Track poinformował, że powstrzymał nieuprawnioną aktywność, zabezpieczył środowisko objęte incydentem, wdrożył dodatkowe środki ochrony i zawiadomił klientów sądowych. Firma podkreśliła, że źródłem problemu nie były własne systemy ani sieci sądów oraz że nie znalazła dowodów na objęcie incydentem systemów obsługujących transakcje finansowe. 1

Działalność sądów była kontynuowana, a Thomson Reuters przekazał, że usługi C-Track nie zostały zakłócone. Nie rozstrzyga to kwestii prywatności danych w pozyskanych plikach, ale oznacza, że incydent nie spowodował przerwy w funkcjonowaniu usług sądowych. 1

Pomoc dla osób potencjalnie dotkniętych zdarzeniem

Dla osób objętych incydentem za pośrednictwem klientów sądowych w USA C-Track planował zapewnić 12 miesięcy Experian IdentityWorks — usługi monitorowania kredytu i wsparcia w przywracaniu tożsamości po jej kradzieży. Numer centrum obsługi incydentu to 1-833-918-5294; linia działa w dni robocze w godz. 8:00–20:00 czasu centralnego USA. Użytkownicy TTY mogą dzwonić pod 711. 1

Dla osób dotkniętych sprawą w Kanadzie C-Track Canada planował zaoferować 12 miesięcy bezpłatnego członkostwa TransUnion myTrueIdentity, obejmującego monitorowanie kredytu, pomoc w odzyskaniu tożsamości, monitoring dark webu oraz ubezpieczenie zwrotu kwalifikowanych wydatków. Podany numer kontaktowy to 1-833-918-4543, czynny w dni robocze w godz. 8:00–20:00 czasu wschodniego. 1

Osoby, które mogły zostać objęte incydentem, powinny korzystać z informacji o powiadomieniu przekazanych przez właściwy sąd lub C-Track, ponieważ uprawnienia do wsparcia i rodzaj akt różnią się zależnie od jurysdykcji. Najważniejsza niewiadoma pozostaje bez zmian: potwierdzono pozyskanie części plików sądowych, ale nie opublikowano kompletnej listy plików ani osób, których dane mogły zostać objęte zdarzeniem. 1