Uma invasão envolvendo a infraestrutura da Thomson Reuters Court Management Solutions expôs informações armazenadas por tribunais dos Estados Unidos e do Canadá e levanta um alerta sobre um dos pontos mais sensíveis da cadeia de suprimentos digital: fornecedores que concentram dados de diversas instituições públicas em uma mesma plataforma.
O incidente atingiu o C-Track, sistema utilizado por tribunais para gerenciamento eletrônico de processos, documentos, registros e fluxos judiciais.
A atividade maliciosa aconteceu em março de 2026.
Mas a Thomson Reuters somente detectou atividade não autorizada em seu ambiente de nuvem em:
30 de junho de 2026.
A investigação posterior concluiu que um terceiro não autorizado conseguiu obter determinados arquivos relacionados ao C-Track.
Entre os ambientes atingidos estão tribunais de diversos estados americanos, das Ilhas Virgens dos Estados Unidos e de Ontário, no Canadá.
O caso tornou-se público no início de setembro.
Não foi uma invasão direta aos tribunais
Essa é a primeira distinção importante.
Até o momento, não há evidência de que os criminosos tenham invadido diretamente as redes dos tribunais afetados.
O comprometimento ocorreu no ambiente relacionado à Thomson Reuters Court Management Solutions, fornecedora responsável pelo C-Track.
A própria empresa afirma que o incidente aconteceu dentro de sua infraestrutura e não foi provocado por falhas nas redes, sistemas ou controles de segurança dos tribunais clientes.
Isso transforma o episódio em um exemplo clássico do risco associado a terceiros.
Um único fornecedor pode armazenar ou processar informações pertencentes a muitas organizações diferentes.
C-Track é muito mais do que um simples banco de documentos
O C-Track é uma plataforma de gerenciamento de processos judiciais.
Dependendo da implantação, pode ser utilizada para administrar:
processos;
petições;
documentos;
calendários;
audiências;
informações processuais;
fluxos administrativos;
dados de partes;
registros judiciais;
e diferentes etapas do funcionamento de um tribunal.
Isso significa que um comprometimento da plataforma pode atingir informações pertencentes a pessoas que sequer possuem qualquer relacionamento direto com a Thomson Reuters.
Alguém pode ter seus dados envolvidos simplesmente porque aparece em um processo judicial.
Informações pessoais foram comprometidas
A Thomson Reuters confirmou que a investigação identificou registros judiciais afetados contendo:
nomes e informações pessoais.
Mas o tipo exato de dado varia de acordo com o tribunal e com os arquivos armazenados no ambiente.
Essa diferença é importante.
Não existe, até agora, base para afirmar que todos os tribunais tiveram exatamente os mesmos tipos de documentos comprometidos.
Há confirmação de documentos judiciais sigilosos
Algumas notificações relacionadas ao incidente indicam que o material acessado pode incluir informações particularmente sensíveis.
Reportagens especializadas sobre o caso apontam exposição de sealed court information, ou informações judiciais sob sigilo, além de dados pessoais.
Isso eleva significativamente a gravidade potencial do incidente.
Um documento público de um processo possui uma natureza completamente diferente de um arquivo protegido por sigilo judicial.
Mas não sabemos quantos documentos sigilosos foram acessados
Também é necessário evitar transformar a confirmação de existência de material sigiloso em uma conclusão muito maior.
Até o momento, não foi divulgado publicamente:
quantos documentos confidenciais foram acessados;
quantos processos estavam envolvidos;
quantas pessoas foram afetadas;
qual o volume total de dados obtidos;
ou quanto material efetivamente saiu da infraestrutura.
Portanto, manchetes que apresentem números específicos sem documentação precisam ser tratadas com cautela.
Pelo menos 11 estados aparecem na notificação principal
A notificação da Thomson Reuters identifica sistemas judiciais relacionados ao incidente em:
Alabama;
Kentucky;
Montana;
Nevada;
New Hampshire;
North Dakota;
Ohio;
Pennsylvania;
South Carolina;
Tennessee;
Wyoming.
Também aparecem as:
Ilhas Virgens dos Estados Unidos.
No Canadá, o incidente atingiu informações relacionadas aos tribunais de Ontário.
Outras divulgações estaduais mostram que o alcance e a natureza dos dados precisam ser analisados individualmente, porque diferentes tribunais utilizam o C-Track de maneiras distintas.
Minnesota também confirmou impacto
O caso ganhou uma camada adicional quando o Poder Judiciário de Minnesota informou que seus tribunais de apelação também foram afetados por uma violação envolvendo o fornecedor.
Entre eles estão:
Minnesota Supreme Court;
Minnesota Court of Appeals;
Minnesota Tax Court;
e Minnesota Court of Administrative Hearings.
Mas o cenário de Minnesota demonstra justamente por que não é correto generalizar.
Em Minnesota, documentos dos processos não foram comprometidos
Segundo o Judiciário de Minnesota, as informações atingidas vieram de dados de backup fornecidos à Thomson Reuters para suporte técnico e troubleshooting.
Nesse caso específico, autoridades afirmaram que:
documentos de processos, incluindo decisões, petições e anexos, não faziam parte dos dados comprometidos.
Isso mostra como o mesmo incidente pode ter impactos muito diferentes entre clientes.
Em uma jurisdição, podem existir arquivos judiciais.
Em outra, dados de suporte.
Em outra, informações pessoais.
Por isso, o alcance precisa ser analisado tribunal por tribunal.
Ohio confirma acesso ao ambiente de produção
O caso do estado de Ohio oferece outro exemplo.
A Suprema Corte estadual informou ter sido notificada pela West Publishing Corporation, subsidiária integral da Thomson Reuters, em 24 de julho.
O C-Track é utilizado por 10 das 12 cortes de apelação de Ohio.
Em 31 de agosto, a Thomson Reuters informou ao tribunal que o acesso não autorizado ocorreu na plataforma de produção.
Essa infraestrutura hospeda os dados de filing das dez cortes envolvidas.
Ohio ainda não sabe quantas pessoas foram afetadas
A própria Suprema Corte de Ohio reconheceu que ainda não havia determinado:
a extensão das informações pessoais expostas nem a identidade específica das pessoas afetadas.
Esse ponto é fundamental.
Mesmo meses depois da invasão, a investigação continua tentando responder uma das perguntas mais básicas:
quem teve seus dados comprometidos?
Ontário confirmou incidente nos três principais tribunais
No Canadá, os três Chief Justices de Ontário publicaram um comunicado conjunto.
O C-Track é utilizado pelo:
Court of Appeal for Ontario;
Ontario Superior Court of Justice;
e Ontario Court of Justice.
Segundo o comunicado, a Thomson Reuters informou ao Ministério do Procurador-Geral de Ontário em 23 de julho que dados dos tribunais estavam entre as informações acessadas.
A partir daí, autoridades judiciais e especialistas de cibersegurança do governo canadense começaram a trabalhar com a empresa para avaliar o impacto.
Qualquer pessoa citada em um processo pode potencialmente estar envolvida
O alerta canadense chama atenção para uma característica incomum desse tipo de vazamento.
As possíveis vítimas não são apenas funcionários do tribunal.
Nem apenas advogados.
Nem apenas usuários cadastrados no sistema.
Pessoas envolvidas em processos ou simplesmente mencionadas em documentos judiciais podem possuir informações pessoais dentro dos arquivos afetados.
Isso amplia significativamente o universo potencial de pessoas envolvidas.
Thomson Reuters oferece monitoramento de crédito
No Canadá, a empresa disponibilizou aos indivíduos elegíveis 12 meses de monitoramento de crédito e proteção contra roubo de identidade por meio da TransUnion.
Esse tipo de medida normalmente é utilizado quando existe possibilidade de exposição de informações que possam contribuir para fraude ou roubo de identidade.
Mas a oferta do serviço não significa que exista evidência de fraude contra todas as pessoas envolvidas.
É uma medida preventiva.
Não há evidência pública de roubo de identidade decorrente do caso
Até agora, não foi apresentada evidência pública de uma campanha de fraude ou roubo de identidade diretamente vinculada aos dados do C-Track.
Isso pode mudar conforme a investigação avança.
Mas é importante não confundir:
dados acessados
com
dados utilizados criminalmente posteriormente.
São etapas diferentes.
O ataque ficou meses sem ser detectado
Um dos elementos que mais chama atenção é a cronologia.
Acesso aos arquivos:
março de 2026.
Detecção de atividade não autorizada:
30 de junho de 2026.
Notificações a clientes começaram posteriormente.
Divulgação pública ampla:
início de setembro.
Isso significa que existe um intervalo de meses entre o comprometimento e sua descoberta.
Não sabemos se o invasor permaneceu no ambiente durante todo esse período
Aqui também é necessário cuidado.
O fato de os arquivos terem sido acessados em março e a atividade ter sido detectada em junho não significa automaticamente que o atacante permaneceu três meses dentro da infraestrutura.
A investigação pública não apresentou elementos suficientes para estabelecer o chamado dwell time — o período exato em que o invasor manteve acesso.
Pode ter sido um acesso pontual.
Pode ter ocorrido durante determinado período.
Sem dados forenses publicados, não é possível afirmar.
Como os criminosos entraram?
Essa pergunta continua sem resposta pública.
A Thomson Reuters não revelou o vetor inicial utilizado pelos invasores.
Portanto, ainda não sabemos se houve:
phishing;
credenciais roubadas;
vulnerabilidade;
falha de configuração;
token comprometido;
ataque contra identidade;
exploração de aplicação;
ou outro método.
Qualquer atribuição técnica neste momento seria especulação.
Também não existe grupo hacker confirmado
Nenhum grupo criminoso foi publicamente atribuído ao incidente de maneira conclusiva.
Também não existe confirmação pública de:
ransomware;
pedido de resgate;
extorsão;
publicação dos dados em site de vazamentos;
ou participação de um grupo patrocinado por algum Estado.
Portanto, chamar o caso de “ataque de ransomware” seria incorreto com as informações disponíveis.
O que está confirmado é:
acesso não autorizado e obtenção de arquivos.
Sistemas continuaram funcionando
Existe outra informação importante.
A Thomson Reuters afirma que não houve interrupção operacional do C-Track como consequência do incidente.
Os produtos e serviços continuaram funcionando.
Especialistas externos em cibersegurança participaram da investigação e, segundo a companhia, validaram as medidas de remediação implementadas.
Isso mostra novamente que um incidente cibernético grave não precisa necessariamente derrubar sistemas.
Um vazamento pode acontecer silenciosamente
Quando pensamos em ataque cibernético, é comum imaginar:
tela preta;
servidores desligados;
ransomware;
serviços indisponíveis;
operações paralisadas.
Mas ataques voltados ao roubo de informações podem ter objetivo exatamente oposto.
O invasor quer permanecer invisível.
Quanto menos impacto causar, maior a chance de continuar acessando dados sem chamar atenção.
Por isso:
sistema funcionando não significa sistema não comprometido.
Tribunais possuem um dos conjuntos de dados mais sensíveis existentes
O setor judicial é especialmente atraente porque concentra informações que raramente aparecem reunidas em outros ambientes.
Processos podem conter:
nomes completos;
endereços;
informações financeiras;
dados médicos;
históricos criminais;
informações familiares;
disputas empresariais;
segredos comerciais;
documentos de identificação;
depoimentos;
evidências;
informações de menores;
e dados protegidos judicialmente.
Em determinados casos, documentos podem permanecer relevantes durante décadas.
Documentos selados possuem valor especial
Informações sob sigilo existem justamente porque sua divulgação pode causar danos.
Podem envolver:
menores;
vítimas;
investigações;
informações médicas;
segredos comerciais;
testemunhas;
dados financeiros;
ou informações pessoais extremamente sensíveis.
Se um atacante consegue acessar esse tipo de material, os riscos ultrapassam simples spam.
Pode existir potencial para:
extorsão;
engenharia social;
fraude;
intimidação;
espionagem;
ou venda clandestina de informações.
Não há evidência pública de que esses usos tenham ocorrido neste caso, mas são riscos que precisam ser considerados.
O incidente mostra o problema da concentração em fornecedores
Existe uma lição maior.
Uma organização pode possuir excelente segurança interna e ainda assim sofrer exposição porque um fornecedor foi comprometido.
Isso é Third-Party Risk Management — TPRM.
Tribunais dependem de fornecedores.
Bancos dependem de fornecedores.
Hospitais dependem de fornecedores.
Governos dependem de fornecedores.
Empresas de tecnologia dependem de fornecedores.
Cada integração cria uma extensão da superfície de ataque.
Um fornecedor pode concentrar centenas de organizações
Para o atacante, essa arquitetura pode ser extremamente atraente.
Em vez de atacar dez tribunais individualmente, pode ser mais eficiente procurar um sistema utilizado por todos eles.
É a mesma lógica observada em diferentes ataques de cadeia de suprimentos.
Um comprometimento. Muitas vítimas potenciais.
Essa concentração transforma fornecedores de tecnologia em alvos de alto valor.
Backup também é dado sensível
O caso de Minnesota traz uma lição adicional.
Empresas frequentemente tratam backup apenas como ferramenta de recuperação.
Mas um backup pode conter praticamente tudo que existe no sistema original.
E às vezes permanece armazenado por mais tempo.
Por isso, backups precisam de:
criptografia;
controle de acesso;
retenção adequada;
monitoramento;
segmentação;
e políticas claras de descarte.
Um backup desnecessário pode se transformar em passivo de segurança.
Dados utilizados para suporte também precisam de governança
Minnesota informou que dados haviam sido fornecidos ao fornecedor para suporte e resolução de problemas.
Essa situação ocorre diariamente em empresas.
Um fornecedor pede:
“mande uma cópia do banco”.
“envie o log”.
“mande o arquivo”.
“exporte a configuração”.
A equipe envia.
O problema é:
onde aquilo fica depois?
Por quanto tempo?
Quem pode acessar?
Quando será apagado?
Existe criptografia?
Existe auditoria?
Essas perguntas fazem parte da segurança da cadeia de suprimentos.
Incidente não atingiu a operação jornalística da Reuters
Também existe uma distinção importante por causa do nome da companhia.
Reuters News faz parte do grupo Thomson Reuters.
Mas o incidente envolve a estrutura da Thomson Reuters Court Management Solutions/West Publishing e a plataforma C-Track.
Não existe evidência de que sistemas da redação da Reuters ou sua operação jornalística tenham sido comprometidos.
Portanto, dizer simplesmente que “Reuters foi hackeada” pode gerar uma interpretação incorreta.
Não confundir com outro grande vazamento que envolve documentos americanos
O momento também favorece confusão porque outro incidente ganhou manchetes praticamente ao mesmo tempo.
O FBI está investigando uma enorme base de carteiras de motorista e documentos de identificação dos Estados Unidos e Canadá oferecida em um mercado criminoso chamado Nexus.
Esse caso pode envolver dezenas de milhões de documentos.
Não existe evidência pública de que o vazamento do C-Track seja a origem dessa base.
São investigações diferentes.
Misturar os dois incidentes produziria uma conclusão que não está comprovada.
Thomson Reuters acionou especialistas e autoridades
Após detectar a atividade em 30 de junho, a empresa afirma ter:
iniciado investigação;
contratado especialistas externos em cibersegurança;
notificado autoridades policiais;
contido a atividade;
protegido o ambiente C-Track;
e implementado medidas de remediação.
Clientes afetados nos Estados Unidos e Canadá também começaram a ser notificados.
O tamanho real ainda pode mudar
Este é um incidente que provavelmente terá novas informações.
Ainda existem perguntas fundamentais sem resposta pública:
quantas pessoas foram afetadas?
Quanto dado foi obtido?
Quantos documentos estavam sob sigilo?
Qual foi o vetor inicial?
Quem realizou o ataque?
Por quanto tempo houve acesso?
Os dados foram vendidos?
Foram publicados?
Houve tentativa de extorsão?
Existem outras jurisdições envolvidas?
Até essas respostas surgirem, números absolutos precisam ser tratados com cautela.
Para organizações, a lição é clara
Gerenciar segurança interna não é suficiente.
Empresas e governos precisam saber:
quais fornecedores possuem seus dados;
quais dados cada fornecedor possui;
por quanto tempo eles são armazenados;
em quais ambientes;
com quais controles;
quem possui acesso;
como incidentes são comunicados;
e como os dados são destruídos quando deixam de ser necessários.
É impossível proteger aquilo que a organização sequer sabe que está armazenado por terceiros.
E para os tribunais, o impacto vai além da tecnologia
O Judiciário depende de confiança.
Documentos são entregues aos tribunais porque cidadãos, empresas, advogados e governos esperam que informações protegidas permaneçam protegidas.
Quando um fornecedor dessa infraestrutura é comprometido, o problema deixa de ser apenas de TI.
Torna-se uma questão de confidencialidade judicial, privacidade e governança pública.
O incidente envolvendo o C-Track demonstra exatamente isso.
Até agora, não há confirmação de interrupção das operações, ransomware ou identidade do atacante.
Mas há confirmação de que arquivos foram obtidos.
Há confirmação de informações pessoais afetadas.
E existem registros de informações judiciais confidenciais entre os materiais expostos em partes do incidente.
A maior preocupação agora é descobrir exatamente quanto foi acessado e quem está dentro desse universo de vítimas.
Porque, em um tribunal, um único arquivo pode conter muito mais do que um nome e um número.
Pode conter informações que jamais deveriam ter saído de um ambiente protegido.
