--- title: "Dados judiciais dos Estados Unidos e do Canadá aparecem em violação da Thomson Reuters" author: "Gabriela P. Torres" date: "2026-09-04 06:30:00-03" category: "Segurança & Privacidade" url: "http://desbugados.scale.press/portal/desbugados/post/2026/09/04/dados-judiciais-dos-estados-unidos-e-do-canada-aparecem-em-violacao-da-thomson-reuters/md" --- ## Resumo - A plataforma judicial C-Track, operada pela West Publishing, subsidiária da Thomson Reuters, sofreu um acesso não autorizado identificado em 30 de junho de 2026. - Arquivos relacionados a tribunais de 12 estados dos EUA, das Ilhas Virgens Americanas e de Ontário, no Canadá, podem ter sido expostos. - Os dados potencialmente envolvidos incluem nomes, números de Seguro Social, carteiras de motorista, informações médicas, datas de nascimento e detalhes de seguro saúde. - Informações judiciais sigilosas ou seladas também podem ter sido acessadas, mas a quantidade de pessoas afetadas ainda não foi informada. - As fontes divergem sobre o ambiente atingido: alguns relatos mencionam cópias usadas para suporte técnico, enquanto Ohio apontou sua plataforma de produção. - Oregon e Ohio divulgaram detalhes próprios sobre tribunais afetados e continuam investigando quais dados não públicos foram expostos. - A Thomson Reuters afirma que não houve interrupção operacional no C-Track e oferece atendimento e monitoramento de crédito aos afetados. --- Uma violação na plataforma judicial **C-Track**, operada pela West Publishing, subsidiária da Thomson Reuters, expôs arquivos ligados a tribunais de **12 estados dos Estados Unidos**, das Ilhas Virgens Americanas e de Ontário, no Canadá. A Thomson Reuters detectou atividades não autorizadas em **30 de junho de 2026**, mas a investigação apontou que um terceiro havia obtido arquivos do sistema em março. Entre os dados potencialmente envolvidos estão nomes, números de Seguro Social, números de carteira de motorista, informações médicas, datas de nascimento e detalhes de seguro saúde. Informações judiciais sigilosas ou seladas também podem ter sido acessadas. A seguir, o ponto central é separar o que já foi confirmado do que ainda depende da investigação. ## O que a investigação confirmou sobre o acesso A primeira peça do caso é a relação entre a Thomson Reuters e a plataforma usada pelos tribunais. A **West Publishing** opera o C-Track como um sistema de gestão de casos judiciais, portanto os arquivos armazenados ali podem reunir informações administrativas e processuais de diferentes cortes. Segundo o [relato da The Record](https://therecord.media/thomson-reuters-cyberattack-data), a empresa identificou atividades não autorizadas em 30 de junho de 2026 e descobriu que um terceiro havia obtido arquivos em março. A análise técnica disponível indica que o acesso ocorreu durante aproximadamente **121 dias**, entre 1º de março e 29 de junho. A cronologia, por si só, já mostra uma diferença entre o início do acesso e a data em que a empresa identificou o problema. O segundo ponto exige cuidado porque as fontes não descrevem exatamente o mesmo tipo de arquivo. Uma análise sobre o incidente afirma que o material acessado incluía **cópias de bancos de dados** fornecidas à Thomson Reuters para solucionar problemas técnicos nos aplicativos, o que corresponde a uma forma de suporte conhecida como troubleshooting. Alguns tribunais também relataram que o incidente atingiu cópias usadas para suporte técnico. O Supremo Tribunal de Ohio, porém, informou que o acesso alcançou sua **plataforma de produção**, expressão usada para o ambiente operacional do tribunal. Se as descrições são diferentes, então não é possível transformar todas elas em uma única versão sem ressalvas; a investigação precisa esclarecer quais ambientes foram atingidos em cada jurisdição. ## Quais informações podem estar envolvidas A lista de dados mencionada pelas fontes não se limita a identificadores básicos. Os arquivos potencialmente expostos podem conter **nomes**, números de Seguro Social, números de carteira de motorista, informações médicas, datas de nascimento e detalhes de seguro saúde. Esses elementos aparecem na descrição do incidente como categorias de dados que podem ter sido acessadas, e não como uma confirmação de que cada registro continha todos esses campos. A distinção é necessária porque a publicação disponível não informa quantas pessoas foram afetadas nem estabelece quais tipos de informação estavam presentes em cada arquivo. O dado confirmado neste estágio é a possibilidade de exposição dessas categorias dentro da plataforma judicial. Além dos dados pessoais, a própria natureza dos arquivos judiciais amplia a pergunta sobre o conteúdo envolvido. As informações potencialmente acessadas incluem **registros sigilosos ou selados**, categorias que não ficam disponíveis ao público em condições normais. A fonte não afirma que todos os processos protegidos foram acessados, nem informa quantos documentos dessa natureza estavam nos arquivos obtidos pelo terceiro. O que ela registra é a possibilidade de que informações confidenciais ou seladas tenham sido alcançadas durante o incidente. Portanto, a formulação correta é exposição potencial, não divulgação comprovada de todo o conteúdo judicial armazenado no C-Track. ## O que os tribunais dos Estados Unidos informaram As notificações de Ohio ajudam a dimensionar a presença do C-Track sem permitir uma conclusão sobre o número de pessoas atingidas. O **Supremo Tribunal de Ohio** informou que recebeu a notificação da Thomson Reuters, identificada no comunicado como TRCMS, em 24 de julho de 2026. O tribunal também declarou que 10 de seus 12 tribunais de apelação utilizam o C-Track, enquanto os distritos 8 e 10 não foram afetados. A apuração sobre quais dados pessoais não públicos foram expostos ainda estava em andamento. Assim, o número de tribunais que usam a plataforma não deve ser confundido com o número de pessoas ou registros envolvidos. No Oregon, a confirmação veio do Departamento Judicial do estado, que identificou o C-Track como o sistema usado pelos **tribunais de apelação e pelo Supremo Tribunal do Oregon**. O órgão declarou que seu sistema de gestão de casos foi afetado, mas também afirmou que nenhum outro sistema estadual foi comprometido. As operações diárias permaneciam normais, segundo o comunicado, enquanto o departamento exigia explicações adicionais da Thomson Reuters. A informação delimita o alcance conhecido dentro do Oregon, mas não substitui a investigação geral sobre os arquivos acessados nem permite concluir que outras jurisdições tiveram exatamente o mesmo tipo de exposição. ## Resposta da Thomson Reuters e pontos ainda abertos Mesmo com o acesso não autorizado confirmado, a Thomson Reuters afirmou que o incidente não provocou interrupções operacionais no **C-Track**. A empresa contou com especialistas externos em segurança cibernética para auxiliar a investigação e validar as medidas de contenção, isto é, as ações destinadas a limitar o acesso e impedir a continuidade do problema. A companhia também disponibilizou suporte para consultas nos Estados Unidos e no Canadá e criou um centro de atendimento para pessoas afetadas. A ausência de interrupção operacional descreve o funcionamento do sistema, mas não resolve a questão sobre quais arquivos foram obtidos, razão pela qual a apuração dos dados continua relevante. Na frente de assistência, a empresa disponibilizou **monitoramento de crédito** para os afetados, serviço que acompanha sinais associados ao uso indevido de informações financeiras e de identidade. As fontes também informam que, até o momento, não havia evidências de uso fraudulento das informações. Essa afirmação não elimina a possibilidade de exposição, porque acesso não autorizado e fraude confirmada são etapas diferentes da análise. O primeiro já foi identificado pela investigação; o segundo não havia sido comprovado nas informações disponíveis. A resposta anunciada, portanto, combina atendimento aos afetados com a continuidade da apuração técnica e documental. ## Como interpretar o caso sem ampliar o que as fontes dizem A lógica do incidente fica mais clara quando os fatos são separados em três momentos: o acesso, a detecção e a confirmação do conteúdo. O acesso aos arquivos começou em março de 2026, segundo a investigação, e a análise técnica situa o período até **29 de junho**. A Thomson Reuters detectou atividades não autorizadas em 30 de junho, um dia depois do fim do intervalo indicado nessa análise. Em seguida, os tribunais receberam informações específicas, como a notificação enviada a Ohio em 24 de julho. Se a cronologia é conhecida, então ela pode ser afirmada; se o conteúdo exato dos arquivos ainda está em investigação, então a descrição deve permanecer no campo do potencial. Essa separação também impede duas conclusões que as fontes não sustentam. A primeira seria afirmar uma quantidade de pessoas afetadas, porque nenhum dos materiais fornecidos apresenta esse número. A segunda seria atribuir o ataque a um grupo ou indivíduo, porque as fontes descrevem o acesso de um terceiro, mas não identificam sua autoria. O fato verificável é que arquivos relacionados ao C-Track foram obtidos sem autorização e que os tribunais envolvidos continuam avaliando quais dados não públicos estavam presentes. A [confirmação divulgada pela Reuters](https://www.reuters.com/legal/litigation/thomson-reuters-detects-cybersecurity-incident-says-unauthorized-party-accessed-2026-09-03/) também registra que a empresa segue oferecendo suporte nos Estados Unidos e no Canadá. ## O próximo passo para esclarecer a exposição O próximo passo anunciado é concluir a identificação dos dados acessados em cada jurisdição. Em Ohio, a investigação sobre informações pessoais não públicas ainda estava em curso; no Oregon, o departamento judicial cobrava explicações adicionais da Thomson Reuters. A empresa, por sua vez, mantém o atendimento aos afetados e o trabalho com especialistas externos para investigar e validar as medidas de contenção. Esse conjunto de ações não fornece uma contagem final nem uma relação definitiva de documentos, mas indica quais perguntas permanecem abertas: quais arquivos foram obtidos, quais tribunais estavam representados e quais dados efetivamente apareciam neles. Até que essas respostas sejam publicadas, a leitura mais precisa é esta: houve acesso não autorizado a arquivos da plataforma judicial C-Track, com possível exposição de dados pessoais, médicos, de seguro e de processos protegidos, mas a extensão final da exposição ainda não foi informada. A Thomson Reuters oferece um canal de atendimento e monitoramento de crédito, enquanto os tribunais analisam seus próprios ambientes e registros. Se a investigação confirmar apenas parte das categorias listadas, a descrição do caso deverá ser ajustada a essa evidência; se identificar documentos sigilosos adicionais, os tribunais terão de detalhar o alcance. Por enquanto, o dado mais sólido continua sendo a violação dos arquivos e a necessidade de esclarecer seu conteúdo.