Ataque ao C-Track da Thomson Reuters pode ter exposto dados sensíveis de processos judiciais

A Thomson Reuters divulgou um incidente de segurança cibernética envolvendo o C-Track, sua plataforma de gestão de processos judiciais. Segundo a empresa, uma parte não autorizada obteve determinados arquivos do sistema em março de 2026. A atividade foi identificada em 30 de junho de 2026. O caso alcançou clientes judiciais nos Estados Unidos, nas Ilhas Virgens Americanas e em Ontário, no Canadá. 1

Que tipo de informação pode ter sido acessada

O invasor obteve um subconjunto de arquivos judiciais do C-Track. Dependendo do tribunal e do documento, os registros poderiam conter nomes e informações pessoais sensíveis, como números de Seguro Social dos EUA, números de carteira de motorista, datas de nascimento, dados médicos e informações de seguro-saúde. Alguns materiais também podem ter incluído documentos confidenciais, com trechos ocultados ou mantidos sob sigilo judicial. 1

A divulgação não informou quantas pessoas foram afetadas nem apresentou uma relação completa, arquivo por arquivo, do material obtido. Também não houve confirmação de que todos os campos potencialmente sensíveis tenham sido visualizados ou extraídos. Até a divulgação, a identidade, a motivação e eventual vínculo dos responsáveis pelo ataque não haviam sido revelados publicamente. A C-Track afirmou ainda não ter encontrado evidências de fraude ou uso indevido das informações. 1

Quais tribunais foram afetados

Nos Estados Unidos, os sistemas judiciais atingidos estavam em Alabama, Pensilvânia, Kentucky, Montana, Nevada, Dakota do Norte, Carolina do Sul, Tennessee, New Hampshire, Ohio e Wyoming, além das Ilhas Virgens Americanas. 1

Entre os sistemas mencionados estão:

• Tribunais de apelação do Alabama;
• Conselho de Audiências Ambientais da Pensilvânia, tribunais de primeira instância dos condados de Monroe e Washington e o Quinto Distrito Judicial do estado;
• Sistemas de apelação ou supremas cortes de Kentucky, Montana, Nevada, Dakota do Norte, Tennessee e New Hampshire;
• Suprema Corte e Tribunal de Apelações da Carolina do Sul;
• Distritos de apelação 1 a 7, 9, 11 e 12 de Ohio;
• Suprema Corte e Tribunal Superior das Ilhas Virgens Americanas;
• Poder Judiciário de Wyoming. 1

No Canadá, o incidente envolveu a Corte de Apelação de Ontário, a Corte Superior de Justiça de Ontário e a Corte de Justiça de Ontário. Os três chefes de Justiça dessas cortes reconheceram publicamente o caso e disseram trabalhar com a Thomson Reuters/C-Track e parceiros do setor de Justiça para apurar o impacto sobre as informações judiciais e se comunicar com as pessoas afetadas. 1

Serviços continuaram em operação

A C-Track informou que conteve a atividade não autorizada, protegeu o ambiente afetado, implementou medidas adicionais de segurança e avisou os tribunais clientes atingidos. Segundo a empresa, o incidente não foi causado pelas redes ou pelos sistemas dos próprios tribunais, e não há indícios de impacto sobre sistemas responsáveis por transações financeiras. 1

Para quem usa os serviços judiciais, há uma distinção importante: as operações dos tribunais continuaram, e a Thomson Reuters disse que os serviços do C-Track não sofreram interrupção. Isso não elimina as dúvidas sobre privacidade e exposição de dados, mas indica que não houve paralisação dos serviços judiciais por causa do incidente. 1

Monitoramento de crédito e canais de atendimento

Para pessoas potencialmente afetadas por meio de tribunais dos EUA, a C-Track planejou oferecer 12 meses do Experian IdentityWorks, com monitoramento de crédito e suporte de restauração de identidade em caso de roubo de identidade. O telefone informado para o centro de atendimento do incidente foi 1-833-918-5294, em dias úteis, das 8h às 20h no horário Central dos EUA; usuários de TTY podem ligar para 711. 1

Para os potencialmente afetados no Canadá, a C-Track Canada planejou disponibilizar 12 meses sem custo do TransUnion myTrueIdentity. O serviço inclui monitoramento de crédito, assistência para restauração de identidade, monitoramento da dark web e seguro para reembolso de despesas elegíveis. O número divulgado foi 1-833-918-4543, em dias úteis, das 8h às 20h no horário do Leste dos EUA e Canadá. 1

Pessoas que possam ter sido afetadas devem seguir as instruções de notificação enviadas por seu tribunal ou pela C-Track, pois a elegibilidade e os registros envolvidos podem variar conforme a jurisdição. A principal questão ainda em aberto é a extensão da exposição: foi confirmado que alguns arquivos judiciais foram obtidos, mas não o conjunto completo de documentos nem o total de indivíduos atingidos. 1