Breach Thomson Reuters C-Track: 14 giurisdizioni esposte, silenzio sul vettore

Thomson Reuters ha reso pubblico il 2 settembre 2026 una data breach della piattaforma C-Track, sistema SaaS multi-tenant per la gestione documentale dei casi giudiziari. L'accesso non autorizzato da parte di terzi è iniziato a marzo 2026 ed è stato scoperto il 30 giugno. La disclosure ha riguardato almeno 12 stati USA, l'US Virgin Islands e tre corti dell'Ontario, con esposizione di PII e potenziale coinvolgimento di informazioni sigillate o riservate. Il vettore di attacco non è stato divulgato.

Timeline del breach: da marzo a settembre, 60 giorni di silenzio pubblico

La cronologia è stabilita da dichiarazioni ufficiali concordanti. Secondo i tre Chief Justice dell'Ontario — George R. Strathy, Michael J. Tulloch, Sharon L. Nicklas e Lise Maisonneuve — "On June 30, 2026, Thomson Reuters detected unauthorized activity within one of its cloud environments". Il sito di notifica ufficiale C-Track USA (ctracknotification.com) precisa che "in March 2026, an unauthorized party obtained certain C-Track files".

Tra discovery e disclosure pubblica sono trascorsi più di 60 giorni. La notifica a Montana e al Ministry of the Attorney General dell'Ontario è avvenuta il 23 luglio 2026. La pubblica divulgazione, con attivazione dei siti dedicati ctracknotification.com e ctracknotification.ca, è del 2-3 settembre 2026. Questo intervallo ha consentito il coordinamento inter-giurisdizionale, ma ha anche posticipato l'informazione agli individui potenzialmente coinvolti.

La fonte ufficiale Ontario descrive la risposta aziendale: contenimento dell'attività, coinvolgimento di esperti cybersecurity esterni, notifica alle forze dell'ordine e messa in sicurezza dell'ambiente C-Track. Non emergono dettagli sulle specifiche tecniche di contenimento né sull'identità degli esperti o delle agenzie coinvolte.

Scope geografico: il vendor unico punto di accesso per 14 giurisdizioni

La piattaforma C-Track è gestita da West Publishing Corporation, unità di Thomson Reuters. Il modello multi-tenant ha permesso l'accesso orizzontale a file di multiple organizzazioni clienti da un singolo ambiente del vendor. Questa architettura è al centro della criticità: le corti non hanno subito compromissione delle proprie reti, ma sono state esposte attraverso l'infrastruttura terza.

Il sito ctracknotification.com elenca le corti USA affette: Supreme Court of Alabama, Kentucky Court of Justice, Montana Supreme Court, Supreme Court of Nevada, New Hampshire Judicial Branch, North Dakota Supreme Court, South Carolina Judicial Department, Tennessee Administrative Office of the Courts, Wyoming Judicial Branch, Supreme Court of Pennsylvania (multiple corti), Ohio (10 district courts of appeals) e US Virgin Islands. The Record aggiunge Oregon appellate courts, portando il totale a almeno 12 stati.

In Canada, la dichiarazione congiunta dei Chief Justice dell'Ontario conferma tre corti: Court of Appeal for Ontario, Ontario Superior Court of Justice e Ontario Court of Justice. Il sito canadese ctracknotification.ca replica questa lista con servizi di credit monitoring forniti da TransUnion (myTrueIdentity) anziché Experian.

Tipologie di dati: dalla PII a potenziali informazioni sigillate

La notifica ufficiale USA elenca esplicitamente: nomi, Social Security numbers, driver's license numbers, medical information, dates of birth, health insurance information. The Record, citando funzionari dello stato Montana, riporta che "most of the affected information appeared to already be publicly available, although some driver's license numbers and dates of birth were also involved". Questa distinzione tra dati pubblici e dati sensibili è rilevante per la valutazione d'impatto, ma non è quantificata per le altre giurisdizioni.

Il dato più delicato riguarda le informazioni legalmente protette. La notifica C-Track USA afferma che "certain confidential, redacted or sealed information may have been impacted for certain affected courts". I tre Chief Justice dell'Ontario usano formulazione analoga: "Because there remains uncertainty about the exact content of the files that may have been accessed, it is still unclear what information may have been compromised". Questa incertezza, dichiarata testualmente dalla fonte, costituisce un limite strutturale del dossier: non è determinato se i file sigillati siano effettivamente stati accessibili o solo potenzialmente coinvolti.

Il precedente federale e il pattern di targeting sistematico

Infosecurity Magazine contestualizza l'incidente con un precedente: un attacco ai sistemi giudiziari federali USA nell'agosto 2025. Questa collocazione cronologica suggerisce un pattern di targeting sistematico delle infrastrutture giudiziarie, ma il dossier non contiene attribuzione né collegamento tecnico-infrastrutturale tra i due eventi. Non emergono sovrapposizioni di indicatori di compromissione che colleghino l'attore di C-Track a quello dell'agosto 2025.

La struttura del breach C-Track ricalca un classico supply chain cloud compromise: il vendor gestisce dati sovrani di giurisdizioni multiple, diventando single point of failure. L'assenza di dettagli sul vettore di attacco — se vulnerabilità del software, credenziali compromesse, o altro meccanismo — impedisce di valutare se la compromissione fosse prevedibile o mitigabile con controlli specifici.

"We are advised that Thomson Reuters responded by taking steps to contain the activity, engaging external cybersecurity experts to advise and investigate, notifying law enforcement, and securing the C-Track environment" — Ontario's three Chief Justices, Public Statement, 2 settembre 2026

Perche è importante

Il dossier non specifica il vettore di attacco, il volume esatto di dati esfiltrati né il numero preciso di individui affetti. La fonte non documenta se l'accesso sia stato continuo da marzo a giugno o limitato a specifici intervalli. Non emerge quale tipologia di file — database operativi, backup, o documenti individuali — sia stata accessibile. Rankiteo menziona "backup files" per Montana, ma questo dettaglio non è confermato globalmente dalle fonti ufficiali.

L'identità dell'attaccante e il movente non sono determinati. Non c'è evidenza di frode o misuse dei dati a oggi, secondo le notifiche ufficiali USA e Canada. Tuttavia, l'esposizione di informazioni sigillate — se confermata — solleva questioni di integrità processuale e sicurezza strategica dei casi in corso.

La struttura del servizio C-Track, con la sua architettura multi-tenant centralizzata, rende Thomson Reuters un nodo critico per la sovranità digitale della giustizia. La fonte non specifica se la piattaforma implementi segregazione rigorosa tra tenant né se l'incidente abbia sfruttato limiti di tale segregazione. Il call center per Ontario è attivo dal 4 settembre 2026; la deadline per l'enrollment al credit monitoring Experian è fissata al 31 dicembre 2026.

Domande frequenti

L'incidente ha compromesso i sistemi interni delle corti?

No. Le notifiche ufficiali USA e Canada esplicitano che "the incident was not caused by the courts' networks, systems or data security". La compromissione è avvenuta nell'ambiente cloud di Thomson Reuters.

I documenti sigillati sono certamente stati esposti?

Le fonti ufficiali usano linguaggio cautelativo: "may have been impacted", "uncertainty about the exact content". Non è determinato se le informazioni sigillate siano state effettivamente accessibili o solo potenzialmente coinvolte.

Cosa offre Thomson Reuters agli interessati?

12 mesi di credit monitoring gratuito: Experian IdentityWorks negli USA, myTrueIdentity via TransUnion in Canada. Il call center per Ontario è attivo dal 4 settembre 2026.

Il silenzio sul vettore di attacco, in un'infrastruttura che gestisce dati giudiziari di 14 giurisdizioni, non è una lacuna giornalistica ma una scelta di disclosure aziendale. Quando un vendor cloud diventa custode unico di dati sovrani, la mancata trasparenza sul meccanismo di compromissione trasforma la supply chain in una scatola nera di cui le giurisdizioni clienti non possono valutare la resilienza. Il precedente federale del 2025 e la struttura stessa di C-Track suggeriscono che questo pattern non è episodico: la centralizzazione della giustizia digitale in pochi operatori privati è diventata una superficie d'attacco sistemica, e la metrica rilevante non è più se verrà colpita, ma quando verrà reso pubblico.

Fonti

• https://therecord.media/thomson-reuters-cyberattack-data
• https://www.infosecurity-magazine.com/news/us-canada-court-breach-thomson/
• http://www.econotimes.com/Thomson-Reuters-C-Track-Cyberattack-Hits-Courts-Across-US-and-Canada-1751155
• https://blog.rankiteo.com/statho1788405811-thomson-reuters-montana-supreme-court-breach-september-2026/
• https://www.straitstimes.com/world/united-states/thomson-reuters-detects-cyber-security-incident-says-unauthorised-party-accessed-files
• https://www.ontariocourts.ca/en/public-statement-cybersecurity.htm
• https://www.ctracknotification.com/
• https://www.ctracknotification.ca/

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti