Um ataque contra um fornecedor de tecnologia utilizado pelo sistema judiciário norte-americano e canadense pode ter colocado nas mãos de criminosos informações muito mais sensíveis do que documentos públicos de processos.
A Thomson Reuters confirmou que uma parte dos arquivos obtidos por um invasor em seu ambiente C-Track pode conter nomes associados a informações como números de seguridade social dos Estados Unidos, carteiras de motorista, datas de nascimento, informações médicas e dados de seguros de saúde. Em determinados tribunais, informações confidenciais, redigidas ou mantidas sob sigilo judicial também podem ter sido envolvidas.
O tamanho completo do incidente, porém, continua desconhecido.
O ataque aconteceu meses antes de ser descoberto
A linha do tempo é um dos aspectos mais importantes do caso.
A Thomson Reuters detectou atividade não autorizada relacionada ao C-Track em:
30 de junho de 2026.
A investigação posterior concluiu que um terceiro não autorizado havia obtido determinados arquivos:
ainda em março.
Isso significa que a retirada dos dados aconteceu meses antes de a empresa detectar o incidente.
A divulgação pública ocorreu somente no início de setembro.
O que é o C-Track?
O C-Track é uma plataforma de:
gestão de processos judiciais.
O sistema é fornecido pela área de Court Management Solutions ligada à Thomson Reuters e pode ser utilizado por tribunais para organizar diferentes partes do fluxo de trabalho judicial.
Dependendo da implementação, esse tipo de plataforma pode lidar com informações relacionadas a:
processos;
partes;
advogados;
movimentações;
dados processuais;
documentos e informações administrativas.
Isso transforma um fornecedor desse tipo em um alvo particularmente interessante.
Em vez de atacar individualmente cada tribunal, comprometer a infraestrutura de uma empresa que atende diversos deles pode proporcionar acesso a informações de:
múltiplas jurisdições.
Tribunais de 11 estados americanos apareceram inicialmente na divulgação
A Thomson Reuters informou que arquivos relacionados a tribunais em 11 estados dos Estados Unidos foram obtidos, além das Ilhas Virgens Americanas e de tribunais de Ontário, no Canadá. Entre os estados inicialmente relacionados estavam Alabama, Kentucky, Montana, Nevada, Dakota do Norte, Carolina do Sul, Tennessee, Ohio, New Hampshire, Wyoming e Pennsylvania.
Divulgações posteriores de tribunais mostraram que o alcance precisa ser acompanhado com cuidado, porque diferentes órgãos e jurisdições estão comunicando individualmente seu envolvimento.
Minnesota, por exemplo, confirmou que dados de seus tribunais de apelação também foram afetados por uma violação envolvendo o fornecedor.
Minnesota ajuda a explicar como dados judiciais foram parar no ambiente do fornecedor
O caso de Minnesota traz um detalhe importante.
Segundo o próprio Judiciário estadual, as informações afetadas vieram de:
dados de backup que os tribunais haviam fornecido à Thomson Reuters para suporte técnico e solução de problemas.
O material estava relacionado ao uso do C-Track.
Isso mostra uma questão central de segurança de terceiros:
uma cópia de dados pode continuar sendo tão sensível quanto o sistema original.
Não importa se ela foi criada apenas para:
backup;
teste;
suporte;
troubleshooting.
Se contém informações sensíveis, continua sendo um ativo que precisa de:
proteção equivalente.
No caso de Minnesota, documentos processuais não foram roubados
Existe também uma distinção importante.
O Judiciário de Minnesota afirmou que documentos como:
ordens;
petições;
briefs;
adendos
não estavam incluídos na violação identificada naquele estado.
Portanto, não é correto afirmar que todos os tribunais envolvidos tiveram documentos judiciais completos roubados.
O conteúdo afetado:
varia de acordo com cada jurisdição.
Alguns dados podem ser extremamente sensíveis
Segundo os avisos relacionados ao incidente, uma parte dos registros pode conter:
números de Social Security;
números de carteira de motorista;
datas de nascimento;
informações médicas;
informações de seguro de saúde.
Em determinados tribunais, o material também pode incluir informações:
confidenciais, redigidas ou seladas judicialmente.
Isso eleva significativamente o potencial impacto.
Um documento selado existe justamente porque não deveria ser público
Tribunais mantêm determinados registros sob sigilo por inúmeros motivos.
Eles podem envolver informações relacionadas a:
menores;
vítimas;
questões médicas;
informações financeiras;
investigações;
dados pessoais;
casos sensíveis.
O fato de determinado registro existir dentro de um processo não significa que:
qualquer pessoa deveria conseguir acessá-lo.
Por isso, uma eventual exposição de informações seladas possui implicações muito diferentes da simples obtenção de documentos que já estavam disponíveis publicamente.
Mas ainda não sabemos exatamente quais documentos sigilosos foram obtidos
Esse cuidado é fundamental.
A Thomson Reuters informou que determinados registros:
podem conter
informações confidenciais, redigidas ou seladas.
Isso não significa que todos esses tipos de dados tenham sido confirmadamente roubados de:
todos os tribunais.
A análise continua sendo realizada individualmente.
O mesmo vale para números de seguridade social
A existência desse tipo de informação entre os dados potencialmente afetados não significa que:
todos os indivíduos envolvidos tiveram seu Social Security Number vazado.
O impacto depende:
do tribunal;
do conjunto de arquivos;
da pessoa;
dos campos existentes naquele registro.
A dimensão completa ainda não foi divulgada.
Não existe número público de vítimas
Esse é um dos maiores pontos ainda em aberto.
Até agora, não foi divulgado um número consolidado de:
pessoas afetadas.
Também não existe uma quantidade pública confirmada de:
arquivos roubados;
gigabytes exfiltrados;
registros comprometidos.
Por isso, qualquer estimativa dizendo que:
“milhões de pessoas foram afetadas”
seria prematura.
A Thomson Reuters confirmou:
o comprometimento de arquivos.
Não revelou:
a população total atingida.
Também não sabemos quem atacou
Até o momento, não existe atribuição pública confirmada a:
grupo de ransomware;
governo;
grupo de espionagem;
hacktivistas;
corretor de acesso inicial.
A empresa também não revelou publicamente:
como o invasor conseguiu entrar.
Não sabemos se houve:
credencial roubada;
phishing;
vulnerabilidade;
configuração incorreta;
token comprometido;
outro vetor.
Essas informações continuam:
não divulgadas.
Não há indicação pública de ransomware
Também não existe evidência confirmada de que os sistemas tenham sido:
criptografados.
O incidente divulgado é essencialmente:
uma violação de confidencialidade de dados.
Arquivos foram obtidos por uma parte não autorizada.
Isso é diferente de um ataque em que sistemas são bloqueados e uma organização recebe:
uma nota de resgate.
Os tribunais continuaram funcionando
Outro ponto importante é que a Thomson Reuters afirmou não ter ocorrido:
interrupção operacional do C-Track.
A plataforma permaneceu funcionando.
Isso mostra como uma violação pode ser extremamente grave mesmo sem:
derrubar servidor;
paralisar sistema;
criptografar arquivos;
tirar site do ar.
Um atacante pode entrar silenciosamente, copiar informações e:
sair.
Roubo silencioso pode ser mais difícil de detectar
Ransomware anuncia sua presença.
A tela muda.
Arquivos deixam de abrir.
Sistemas param.
Em uma operação de exfiltração:
nada disso precisa acontecer.
O invasor pode tentar parecer:
um usuário normal;
um processo legítimo;
uma transferência comum.
Enquanto isso:
dados estão saindo.
É por isso que o incidente demorou a aparecer
A Thomson Reuters encontrou a atividade em junho.
Depois precisou investigar:
o que aconteceu;
quando aconteceu;
quais arquivos foram acessados;
quais clientes estavam envolvidos.
A investigação concluiu que determinados arquivos haviam sido obtidos:
meses antes.
Esse tipo de reconstrução forense pode ser complexo, especialmente quando envolve:
grandes volumes de dados;
múltiplos clientes;
infraestrutura compartilhada.
O incidente demonstra o risco da cadeia de fornecedores
Um tribunal pode possuir:
firewalls;
MFA;
monitoramento;
SOC;
políticas rígidas.
Mas seus dados podem precisar passar por:
fornecedores;
cloud;
empresas de suporte;
software jurídico.
Cada empresa que recebe uma cópia da informação torna-se:
parte da superfície de ataque.
Segurança deixa de terminar na porta da organização
Esse conceito é chamado de:
third-party risk.
Você pode proteger muito bem:
seu servidor.
Mas se entregar uma cópia dos dados para outra empresa:
a segurança dela passa a importar tanto quanto a sua.
O caso C-Track demonstra exatamente esse problema.
Minnesota afirma que seus próprios sistemas não foram comprometidos
O Judiciário de Minnesota foi explícito:
o incidente não afetou as redes ou sistemas dos tribunais estaduais.
A violação ocorreu no contexto do fornecedor e dos dados disponibilizados a ele.
Os tribunais continuaram operando normalmente.
Isso também evita outra interpretação equivocada:
não estamos diante de evidência de que criminosos:
invadiram diretamente todos os tribunais envolvidos.
Um fornecedor comprometido pode criar efeito cascata
Imagine uma empresa de tecnologia atendendo:
20 organizações.
Se cada cliente fosse atacado separadamente, o criminoso precisaria:
20 invasões.
Se o fornecedor mantém informações de todos eles em sua infraestrutura:
uma única invasão pode produzir múltiplas vítimas.
É o princípio que torna ataques à cadeia de suprimentos digital tão atraentes.
Dados judiciais são especialmente valiosos
Uma base de tribunal pode conter muito mais do que:
nome e e-mail.
Dependendo do processo:
endereços;
documentos;
histórico médico;
informações financeiras;
dados familiares;
informações profissionais;
alegações;
registros legais.
Para criminosos, esses dados podem alimentar:
fraude;
phishing;
roubo de identidade;
engenharia social.
Um número de seguridade social possui valor duradouro
Senha pode ser:
trocada.
Cartão pode ser:
cancelado.
Token pode ser:
revogado.
Mas um número de seguridade social é muito mais difícil de:
substituir.
Isso significa que uma exposição pode gerar risco por:
anos.
Informações processuais também ajudam golpes personalizados
Imagine um criminoso sabendo:
qual tribunal;
qual processo;
nome do advogado;
tipo de ação;
partes envolvidas.
Ele pode enviar uma mensagem dizendo:
“Existe uma atualização no seu processo.”
Ou:
“Precisamos confirmar seus dados para liberar o pagamento judicial.”
O golpe parece muito mais convincente porque utiliza:
informações verdadeiras.
Dados vazados funcionam como matéria-prima para engenharia social
Quanto mais contexto o criminoso possui:
melhor consegue construir:
e-mail;
ligação;
SMS;
mensagem.
Essa é uma das razões pelas quais vazamentos não precisam conter:
senhas
para serem perigosos.
Informação contextual também possui:
valor ofensivo.
Thomson Reuters acionou especialistas e autoridades
Após detectar a atividade, a empresa informou ter contratado especialistas externos em cibersegurança e comunicado:
autoridades policiais.
Também realizou medidas de:
contenção;
remediação;
investigação.
Os clientes afetados nos Estados Unidos e Canadá foram notificados.
Minnesota tomou medidas adicionais
O Judiciário estadual informou ter encerrado o acesso da Thomson Reuters aos seus ambientes eletrônicos.
Também:
auditou contas;
revisou acessos recentes;
contratou especialistas;
consultou autoridades estaduais;
comunicou o incidente às autoridades policiais.
Usuários do sistema de gestão processual dos tribunais de apelação também foram orientados a:
alterar suas senhas.
Monitoramento de identidade está sendo oferecido
Nos Estados Unidos, a West Publishing disponibilizou aos potencialmente afetados:
12 meses de Experian IdentityWorks.
No Canadá, a Thomson Reuters Canada anunciou serviço de monitoramento por meio da:
TransUnion.
Esse tipo de medida é comum quando existe possibilidade de exposição de:
dados de identidade.
Mas monitoramento não “desvaza” informação
Esse ponto também merece destaque.
Depois que uma informação é copiada por um invasor:
não existe botão para trazê-la de volta.
Monitoramento ajuda a identificar:
tentativas de fraude;
abertura de contas;
alterações suspeitas.
Mas não remove automaticamente:
as cópias que podem estar nas mãos do atacante.
O caso levanta uma pergunta maior sobre cópias de suporte
Empresas frequentemente enviam dados para fornecedores quando precisam resolver:
problemas técnicos.
Um banco exporta:
logs.
Um hospital envia:
base de teste.
Um tribunal disponibiliza:
backup.
Um desenvolvedor copia:
produção para homologação.
O objetivo pode ser legítimo.
Mas cada cópia cria:
um novo ativo sensível.
Backup não deveria significar “menos protegido”
Existe uma tendência perigosa:
proteger fortemente produção
e tratar:
backup;
teste;
suporte;
homologação
como ambientes secundários.
Para um invasor:
não existe dado secundário.
Se uma cópia contém:
Social Security Number,
ela vale tanto quanto:
a original.
Minimização de dados pode reduzir o impacto
Uma pergunta importante para qualquer organização é:
o fornecedor realmente precisa receber todos esses campos?
Para resolver um problema técnico talvez não seja necessário enviar:
nome real;
documento;
informação médica;
registro confidencial.
Quando possível, dados podem ser:
anonimizados;
mascarados;
tokenizados;
reduzidos.
Menos informação entregue significa:
menos informação disponível para roubo.
Também existe a questão da retenção
Outra pergunta:
por quanto tempo o fornecedor precisa manter aquela cópia?
Uma base enviada para solucionar um problema em:
2024
talvez não precise continuar armazenada em:
Políticas de retenção inadequadas criam:
cemitérios de dados.
E cemitérios de dados podem se transformar em:
tesouros para invasores.
O ataque ao C-Track é um exemplo clássico de risco sistêmico digital
Quanto mais organizações utilizam:
o mesmo software;
a mesma nuvem;
o mesmo fornecedor,
mais eficiente fica o ecossistema.
Mas também aumenta:
a concentração de risco.
Um único incidente pode alcançar:
tribunais;
estados;
países.
O Judiciário não está imune à lógica da nuvem
Digitalização trouxe enormes ganhos:
processos eletrônicos;
acesso remoto;
automação;
pesquisa;
integração.
Mas também mudou onde:
os dados vivem.
Antes, um documento poderia existir apenas:
em um arquivo físico.
Hoje pode existir simultaneamente:
no tribunal;
na nuvem;
no backup;
no fornecedor;
na plataforma de suporte.
Cada cópia precisa:
ser protegida.
E ainda falta descobrir o tamanho real do incidente
Essa é a principal questão aberta.
Sabemos:
que houve acesso não autorizado;
que arquivos foram obtidos;
que múltiplos tribunais foram afetados;
que alguns conjuntos podem conter dados extremamente sensíveis.
Ainda não sabemos publicamente:
quantas pessoas foram atingidas;
quantos arquivos foram roubados;
qual foi o volume total de dados;
quem realizou o ataque;
como entrou;
o que fez com os dados.
Portanto, números gigantescos neste momento devem ser tratados com cautela
Se aparecer uma postagem dizendo:
“milhões de americanos tiveram SSNs vazados”
ou:
“todos os processos secretos de 11 estados foram roubados”,
essas afirmações ultrapassam:
o que foi confirmado até agora.
O incidente é sério sem precisar:
aumentá-lo artificialmente.
O que já está confirmado é suficiente para acender o alerta
Uma empresa que fornece tecnologia para sistemas judiciais sofreu acesso não autorizado.
Arquivos foram obtidos.
Alguns podem conter:
dados pessoais;
informações médicas;
documentos de identificação;
dados protegidos;
registros sigilosos.
E a atividade aconteceu:
meses antes de ser detectada.
Isso coloca o incidente C-Track entre os casos que melhor demonstram um dos maiores desafios atuais da cibersegurança:
uma organização não precisa ser diretamente invadida para ter seus dados roubados.
Às vezes, basta que o atacante encontre:
a empresa que guarda uma cópia deles.
