Un acceso no autorizado a C-Track, la plataforma de gestión de expedientes judiciales que Thomson Reuters vende a sistemas judiciales, expuso archivos de tribunales de apelación en doce jurisdicciones de EEUU y en la provincia de Ontario, Canadá. Los archivos fueron extraídos en marzo de 2026. La compañía detectó la actividad el 30 de junio. La divulgación pública llegó el 2 de septiembre, cuando los sistemas judiciales de varios estados emitieron notificaciones simultáneas. Eso supone más de cinco meses entre el acceso y la comunicación, y más de dos meses entre la detección y la divulgación.
Las jurisdicciones afectadas son Alabama, Kentucky, Montana, Nevada, New Hampshire, North Dakota, Ohio, Pennsylvania, South Carolina, Tennessee, Wyoming y las Islas Vírgenes de EEUU. Minnesota también divulgó una exposición la misma semana, lo que podría elevar el recuento por encima de las doce jurisdicciones mencionadas inicialmente.
Por qué una brecha en datos judiciales es más grave que una brecha en un retailer
Los datos que los avisos enviados a usuarios de los tribunales describen no son datos comerciales ordinarios. Los archivos incluyen nombres con números de la Seguridad Social, números de licencias de conducir, información médica, fechas de nacimiento, información de seguros de salud, y en el caso de Minnesota hay advertencia explícita de que algunos documentos sellados o confidenciales pueden haber quedado expuestos. Un expediente judicial puede contener una orden de protección, un caso de menores o un escrito médico, lo que convierte los datos de identificación adjuntos en información considerablemente más valiosa y sensible que la misma información extraída de una tienda.
Thomson Reuters dice que C-Track siguió funcionando sin interrupciones operativas durante todo el incidente. Los tribunales lo confirman: los sistemas judiciales no quedaron paralizados. Lo que quedó comprometido es la privacidad de las personas que han sido parte en procesos judiciales en esas jurisdicciones, que pueden ser potencialmente afectadas sin saber que lo son. Montana supo de la brecha el 23 de julio —seis semanas antes de que el público lo hiciera— y ha comunicado a cualquier persona que haya sido parte en un proceso en Montana que puede estar afectada.
La brecha de LastPass a través de un proveedor demostró el mismo patrón de ataque en cadena de suministro: un único proveedor detrás de docenas de instituciones, y un solo incidente que alcanza a todas ellas simultáneamente. C-Track es exactamente ese tipo de punto de fallo único: una plataforma que usa el poder judicial de múltiples estados y que, cuando es comprometida, expone a todos ellos al mismo tiempo. La remediación sigue las líneas habituales: doce meses de monitorización de crédito e identidad, call center y resets obligatorios de contraseñas para los usuarios.
La ciberseguridad en torno a la información judicial ha sido históricamente menos madura que en sectores como la banca o la sanidad porque los presupuestos de los sistemas judiciales no se han comparado con los de las industrias reguladas por mandatos de cumplimiento estrictos. Lo que este incidente hace visible es que una brecha en un proveedor de software judicial puede alcanzar a millones de personas que nunca firmaron un acuerdo con Thomson Reuters ni lo eligieron como custodio de sus datos —lo hizo el sistema judicial del estado por ellos.
Nadie ha identificado a los responsables. Thomson Reuters, Reuters —que es filial de Thomson Reuters— informó de que no pudo determinar de forma independiente ni el atacante ni los datos específicos exfiltrados. Ningún grupo ha reclamado el ataque.
El caso de Thomson Reuters añade una dimensión específica: no es un ataque a infraestructura genérica sino a una que maneja expedientes judiciales. Los datos judiciales tienen una particularidad que los datos de salud o financieros no siempre tienen: el contexto de por qué están allí. Un número de la Seguridad Social en un expediente judicial dice que esa persona estuvo involucrada en un proceso legal —lo que ya es información sensible por sí sola.
El caso de las órdenes de protección es el más agudo. Una orden de protección dice explícitamente que una persona está en riesgo de violencia por parte de otra persona específica. Si esa orden quedó expuesta en la brecha de marzo, el atacante sabe quién tiene una orden contra quién, y potencialmente también las direcciones. Es un riesgo de seguridad física, no solo de identidad.
En wwwhatsnew.com llevamos años cubriendo la fragilidad de los proveedores de software legal que gestionan datos de los que dependen sistemas tan críticos como los tribunales. La pregunta que los sistemas judiciales afectados tendrán que responder en los próximos meses es si es prudente alojar expedientes sellados y órdenes de protección en infraestructura de un tercero privado sin cifrado de datos en reposo verificado.
La ventana entre el acceso en marzo y la detección el 30 de junio —17+ semanas— es el dato más preocupante del incidente. No porque sea un récord (lo es en el sector judicial, pero no en ciberseguridad en general) sino porque en ese período los expedientes estuvieron disponibles para el atacante mientras los tribunales procesaban casos que dependían de esa información.
Thomson Reuters lo ha gestionado de forma estándar: contratación de expertos externos, notificación a fuerzas del orden, y los 12 meses de monitorización de crédito para los afectados. Lo que no ha respondido públicamente es si C-Track tenía cifrado de datos en reposo para los campos más sensibles (SSN, información médica) en el momento del acceso. Esa respuesta determinaría si el impacto es recuperable con monitorización de crédito o si algunos afectados necesitan medidas de protección de identidad más agresivas.
En wwwhatsnew.com llevamos años cubriendo la fragilidad de los proveedores de software legal. La pregunta que los sistemas judiciales afectados tendrán que responder es si es prudente alojar expedientes sellados y órdenes de protección en infraestructura de un tercero privado. El argumento económico del SaaS judicial —no necesitar infraestructura propia, actualizaciones automáticas, coste por usuario— es sólido hasta que el proveedor sufre una brecha. Entonces el tribunal se enfrenta a un problema que no puede resolver unilateralmente: el proveedor tiene los datos, los sistemas de remediación, y el calendario de notificaciones. Y como demostró el 23 de julio de Montana —notificada seis semanas antes de la comunicación pública— el tribunal ni siquiera controla cuándo los afectados se enteran.