Thomson Reuters a confirmé qu'une partie non autorisée a accédé et obtenu des fichiers de son système de gestion des dossiers judiciaires C-Track, une plateforme utilisée par les tribunaux aux États-Unis et en Ontario, au C...

Que s'est-il passé lors de l'exfiltration de données de C-Track

Thomson Reuters a confirmé qu'une partie non autorisée a accédé et obtenu des fichiers de son système de gestion des dossiers judiciaires C-Track, une plateforme utilisée par les tribunaux aux États-Unis et en Ontario, au Canada, pour gérer les dépôts de documents, les registres et les flux de travail des dossiers. L'incident se serait produit en mars 2026, mais la divulgation publique et les notifications aux tribunaux concernés n'ont eu lieu que des mois plus tard, en septembre 2026.

Jusqu'à présent, au moins 11 États ont signalé un impact, notamment l'Oregon, où la faille a touché les cours d'appel, et l'Ohio, dont la Cour suprême a publié une déclaration confirmant que l'incident impliquait le système C-Track. Certains tribunaux ont indiqué que les données exposées comprenaient des fichiers de sauvegarde, qui contiennent souvent des ensembles de dossiers plus larges et plus anciens que les dossiers actifs.

Il est important de noter qu'il ne s'agit apparemment pas d'une attaque par ransomware. Aucun rapport ne fait état de chiffrement de fichiers, de note de rançon ou de publication sur le site de fuite d'un groupe d'extorsion connu. Les médias couvrant l'histoire, notamment The Hacker News et Reuters, ont constamment décrit l'événement comme un accès non autorisé et une exfiltration de fichiers plutôt qu'un verrouillage du système. En termes simples, l'attaquant semble avoir copié des données plutôt que de les avoir prises en otage, ce qui change la façon dont les personnes concernées devraient envisager le risque. Aucune preuve de demande de rançon n'existe, mais ce sont les fichiers volés eux-mêmes qui posent problème, et non la perturbation des opérations judiciaires.

Pourquoi les dossiers judiciaires sont une cible de choix pour le vol de données

Les systèmes de gestion des dossiers judiciaires comme C-Track contiennent une quantité inhabituelle d'informations sensibles. Au-delà des simples entrées de registre, ces plateformes peuvent stocker des numéros de sécurité sociale, des détails financiers soumis comme preuves et, dans certains cas, des documents judiciaires scellés ou restreints qui n'étaient jamais destinés à être vus par le public.

Cette combinaison rend les logiciels judiciaires une cible attrayante pour les voleurs de données. Contrairement à une faille chez un détaillant unique où l'exposition est largement limitée aux données de cartes de paiement, une faille dans les dossiers judiciaires peut exposer des documents d'identité, des dépôts de justice familiale, des divulgations financières et des procédures légales que les personnes pensaient confidentielles. La présence de données scellées dans cet incident est particulièrement notable, car elle suggère que l'exposition peut aller au-delà de ce qui est déjà consultable dans les bases de données judiciaires publiques.

Pour les attaquants, ce type de données a une longue durée de vie. Les dossiers judiciaires volés peuvent être utilisés pour l'usurpation d'identité, le hameçonnage ciblé, ou même comme levier dans des escroqueries qui référencent des détails réels de dossiers pour paraître légitimes. C'est l'une des raisons pour lesquelles les chercheurs en sécurité surveillent de près les fournisseurs du secteur juridique, qui passent souvent inaperçus par rapport aux institutions de santé ou financières, malgré le fait qu'ils traitent des données tout aussi sensibles.

Êtes-vous concerné : qui a été exposé dans les 11 États

Déterminer l'impact direct est difficile actuellement car Thomson Reuters et les tribunaux concernés n'ont pas publié de liste complète des types de dossiers ou des personnes touchés. Ce que l'on sait, c'est que l'exposition s'étend aux systèmes judiciaires d'au moins 11 États, les cours d'appel de l'Oregon et le système judiciaire de l'Ohio figurant parmi ceux qui ont publié des confirmations publiques.

Si vous avez eu une quelconque interaction avec un système judiciaire d'État, en tant que demandeur, défendeur, témoin ou partie à un dépôt, depuis que le système est en usage, il est raisonnable de penser que vos dossiers sont passés par C-Track à un moment donné. Des fichiers de sauvegarde ont été impliqués dans au moins certains cas, ce qui signifie que la fenêtre d'exposition peut remonter plus loin que la date d'accès de mars 2026.

Étant donné que les notifications officielles sont encore déployées État par État, l'approche la plus sûre est de supposer une exposition potentielle si vous avez eu une interaction récente ou passée avec un tribunal d'État, plutôt que d'attendre un avis personnalisé qui peut mettre du temps à arriver.

Mesures à prendre maintenant : surveillance, gel du crédit et réduction de l'exposition

Même sans confirmation que vos dossiers spécifiques ont été pris, il existe des mesures concrètes à prendre compte tenu de la sensibilité des données impliquées :

• Gelez votre crédit auprès des principales agences d'évaluation. C'est gratuit et cela empêche l'ouverture de nouveaux comptes à votre nom en utilisant un numéro de sécurité sociale volé.
• Surveillez vos rapports de crédit et vos comptes financiers de près au cours des prochains mois. Les voleurs d'identité n'agissent pas toujours immédiatement, donc une vigilance continue est plus importante qu'une vérification ponctuelle.
• Méfiez-vous du hameçonnage à thème judiciaire. Étant donné que les attaquants ont désormais accès à des détails réels de dossiers, attendez-vous à ce que des e-mails ou appels frauduleux potentiels référençant de véritables dépôts semblent crédibles. Traitez toute communication non sollicitée concernant une affaire juridique avec scepticisme et vérifiez indépendamment par les canaux officiels du tribunal.
• Vérifiez les notifications officielles de faille de votre système judiciaire d'État et suivez toutes les directives spécifiques qu'ils émettent, car certains États peuvent offrir une surveillance du crédit gratuite ou des services de protection de l'identité en réponse.

Ces mêmes principes fondamentaux s'appliquent largement chaque fois que des données personnelles sensibles sont exposées lors d'une faille. Notre guide sur la faille de NYC Health + Hospitals présente une réponse post-faille parallèle, notamment comment aborder le gel du crédit et la surveillance étape par étape, et vaut la peine d'être consulté si vous souhaitez une explication plus détaillée.

Ce que cela signifie pour vous

La faille de C-Track de Thomson Reuters rappelle que les données personnelles sensibles ne vivent pas seulement chez les détaillants, les banques ou les hôpitaux. Les systèmes judiciaires, que la plupart des gens considèrent rarement comme un risque de cybersécurité, contiennent des informations définissant l'identité qui peuvent être tout aussi dommageables entre de mauvaises mains. Le fait que cet incident implique une exfiltration silencieuse de données plutôt qu'une attaque par ransomware spectaculaire signifie qu'il n'y a pas de panne système dramatique pour alerter le public, ce qui facilite le passage inaperçu du risque. Toute personne ayant interagi avec un système judiciaire d'État dans un État concerné devrait considérer cela comme une incitation à vérifier son crédit, à surveiller les contacts suspects et à rester attentive aux mises à jour de son tribunal local.

Points clés à retenir

• La faille de C-Track de Thomson Reuters a impliqué un accès non autorisé et une exfiltration de fichiers, et non un ransomware ou un chiffrement.
• Au moins 11 États ont signalé un impact, y compris des déclarations confirmées des tribunaux de l'Oregon et de l'Ohio.
• Les données exposées peuvent inclure des dossiers judiciaires scellés, des numéros de sécurité sociale et des fichiers de sauvegarde contenant des données de dossiers plus anciennes.
• Si vous avez eu une quelconque interaction judiciaire dans un État concerné, gelez votre crédit et surveillez vos comptes maintenant plutôt que d'attendre un avis officiel.
• Restez vigilant face aux tentatives de hameçonnage qui référencent des détails réels de dossiers pour paraître légitimes.

FAQ : Q1 : Que s'est-il passé lors de la faille de données de C-Track ? R1 : Une partie non autorisée a accédé et obtenu des fichiers du système de gestion des dossiers judiciaires C-Track de Thomson Reuters, utilisé par les tribunaux aux États-Unis et en Ontario, au Canada. L'incident a impliqué une exfiltration de fichiers, et non un verrouillage du système. Q2 : Quand la faille s'est-elle produite et quand a-t-elle été divulguée ? R2 : L'incident se serait produit en mars 2026, tandis que la divulgation publique et les notifications aux tribunaux concernés n'ont eu lieu qu'en septembre 2026. Q3 : S'agit-il d'une attaque par ransomware ? R3 : Non, il ne s'agit apparemment pas d'une attaque par ransomware ; aucun rapport ne fait état de chiffrement de fichiers, de notes de rançon ou de publications sur le site de fuite d'un groupe d'extorsion connu. Q4 : Quels États et tribunaux ont été concernés ? R4 : Au moins 11 États ont signalé un impact, notamment l'Oregon, où les cours d'appel ont été touchées, et l'Ohio, dont la Cour suprême a confirmé que l'incident impliquait C-Track. Q5 : Quels types de données ont pu être exposés ? R5 : Les données exposées peuvent inclure des fichiers de sauvegarde, des numéros de sécurité sociale, des détails financiers soumis comme preuves et potentiellement des documents judiciaires scellés ou restreints qui n'étaient jamais destinés à être vus par le public.

---END---