Thomson Reuters 法院软件泄露可能暴露社保号和密封数据

Thomson Reuters 周三披露，一个未经授权的方于 2026 年 3 月从其 West Publishing Corporation 部门销售的法院案件管理平台 C-Track 获取了文件，影响了美国 11 个州、美属维尔京群岛和加拿大安大略省的法院。
West Publishing 表示，其于 2026 年 6 月 30 日发现了该活动。该公司表示，部分法院记录可能包含个人的姓名、社会安全号码、驾驶执照号码、出生日期、医疗信息和健康保险信息。
该公司为可能受影响的个人提供 12 个月的 Experian IdentityWorks 信用监控，注册开放至 2026 年 12 月 31 日，使用通知中发布的多用途代码，并设有热线 1-833-918-5294，需要参与编号 B171847。
在加拿大，Thomson Reuters Canada Limited 提供 12 个月的 TransUnion myTrueIdentity 监控，呼叫中心定于 9 月 4 日开放。
"某些受影响的法院的机密、已编辑或密封信息可能受到影响，"West Publishing 在 9 月 2 日的通知中表示，并补充说迄今为止没有证据表明这些信息被欺诈或滥用。
West Publishing 的通知和 Thomson Reuters Canada Limited 的加拿大通知列出了以下法院系统——
阿拉巴马州——阿拉巴马州上诉法院
肯塔基州——肯塔基州上诉法院
蒙大拿州——蒙大拿州最高法院
内华达州——内华达州上诉法院
新罕布什尔州——新罕布什尔州最高法院
北达科他州——北达科他州最高法院
俄亥俄州——第一、第二、第三、第四、第五、第六、第七、第九、第十一和第十二地区上诉法院
宾夕法尼亚州——宾夕法尼亚州联邦环境听证委员会（前客户）、华盛顿县普通上诉法院、宾夕法尼亚州第五司法区以及门罗县普通上诉法院（通知仅按县名列出）
南卡罗来纳州——南卡罗来纳州最高法院和南卡罗来纳州上诉法院
田纳西州——田纳西州上诉法院书记官办公室
怀俄明州——怀俄明州司法部门
美属维尔京群岛——最高法院和高等法院
安大略省——安大略省上诉法院、安大略省高等法院和安大略省法院
The Hacker News 于 2026 年 9 月 3 日审查了 West Publishing 的通知；其列出了 11 个州和美属维尔京群岛的 24 个法院机构，明尼苏达州不在列表中。
明尼苏达州司法部门于 9 月 2 日表示，其上诉法院的数据在此次事件中暴露，其已终止 Thomson Reuters 对法院电子环境的访问，且上诉案件管理系统的用户必须更改密码。明尼苏达州最高法院首席法官 Natalie Hudson 表示，她"对我们法院用户的数据被入侵深感不安"。
在蒙大拿州最高法院的公告中，法院表示被取走的材料是存储在 Thomson Reuters 服务器上的备份数据，来自"为故障排除目的提供给 TR 的"数据库副本。
公告称，这些数据库可能包含案件编号、当事人姓名和地址、电话号码、指控和案卷条目描述，以及对于某些被控犯罪的人，还包括驾驶执照号码和出生日期。
根据法院对供应商通知的说明，对该存储位置的未经授权访问从 3 月 1 日持续到 2026 年 6 月 29 日。
阿拉巴马州上诉法院表示，West Publishing 后来告诉他们，一些阿拉巴马州上诉法院数据的副本保存在公司云环境内的一个备份文件中，法院称他们既未要求也不知道这个备份。
"此事件发生在我们供应商的系统中，而非我们自己的系统中，"阿拉巴马州首席法官 Sarah Stewart 表示。
然而，俄亥俄州最高法院在其自己的声明中表示，Thomson Reuters Court Management Solutions (TRCMS) 于 8 月 31 日告知其"未经授权的访问发生在法院的生产平台上"。该平台托管着使用 C-Track 的 10 个俄亥俄州上诉地区的文件系统数据，第八和第十地区未受影响。
The Hacker News 已联系 Thomson Reuters，以澄清哪个环境被访问以及明尼苏达州法院是否受影响，并将在收到任何回复时更新此报道。
"此次事件未对 C-Track 造成运营中断，"Thomson Reuters 一位发言人告诉路透社，并补充说该公司认为该平台可以安全地继续使用。
俄亥俄州最高法院表示，其尚未收到 TRCMS 告知其已部署的强化安全措施的全面细节。
安大略省上诉法院、高等法院和法院在三位首席法官的联合声明中表示，Thomson Reuters 在其一个云环境中检测到了该活动。首席法官们表示"目前仍不清楚哪些信息可能已被入侵"，并指出任何参与法院程序或在法院文件中被提及的人都可能涉及个人信息。
在怀俄明州，被取走的材料是来自怀俄明州最高法院和地区法院的历史数据，主要涉及 2015 年至 2025 年间与这些法院打交道的人，该州司法部门在其公告中表示。
初步审查表明"有限的个人信息，包括姓名、地址和出生日期遭到入侵"，该部门补充道。怀俄明州给出的热线服务时间为山地时间上午 7 点至晚上 7 点。
维尔京群岛法院表示，其于 7 月 27 日收到通知，目前只能确认被访问的数据"与其 2018 年系统实施项目有关"。
肯塔基州的审判法院电子提交未受影响，因为该州不为此使用第三方供应商，肯塔基州法院管理人员表示，并补充说"目前没有迹象表明未经授权的第三方分发了肯塔基州的数据"。
蒙大拿州和明尼苏达州均表示，法院文件不属于被访问数据的一部分，尽管供应商的通知称某些法院的密封材料可能受到影响。
供应商于 7 月 23 日至 7 月 27 日之间通知了法院和安大略省总检察长办公室。公开披露随后于 9 月 2 日进行，蒙大拿州表示选择该日期是为了让供应商和其他涉及的州能够同时发布公告。
截至 9 月 3 日，尚未有方公布受影响个人数量、文件被获取的方式或责任人的身份。
北达科他州的声明表示，该事件仅涉及北达科他州最高法院的数据，该州的地区法院及其 Odyssey 系统未受影响。其补充说，没有证据表明用于处理金融交易的 nCourt 系统受到影响。
"针对此事件正在进行一项积极的刑事调查，"北达科他州法院系统表示。