Una violazione presso Thomson Reuters è arrivata ai tribunali d'appello in dodici giurisdizioni statunitensi.

      Thomson Reuters afferma che una parte non autorizzata è riuscita ad accedere ai file appartenenti a C-Track, la piattaforma di gestione dei casi che la sua divisione software per tribunali vende alle giurisdizioni. I documenti coinvolti provengono da corti d'appello in una dozzina di giurisdizioni statunitensi e dall'Ontario, Canada.

      L'azienda ha rilevato l'attività nel suo ambiente cloud il 30 giugno, secondo Reuters, che è di proprietà di Thomson Reuters. I file sono stati prelevati a marzo, tre mesi prima che qualcuno se ne accorgesse.

      La divulgazione pubblica è seguita il 2 settembre, quando i sistemi giudiziari in diversi stati hanno emesso avvisi lo stesso giorno. Questo è più di cinque mesi dopo l'accesso e più di due dopo che è stato scoperto.

      Le giurisdizioni interessate finora nominate sono Alabama, Kentucky, Montana, Nevada, New Hampshire, Dakota del Nord, Ohio, Pennsylvania, Carolina del Sud, Tennessee, Wyoming e le Isole Vergini statunitensi, insieme all'Ontario. Anche il ramo giudiziario del Minnesota ha rivelato un'esposizione nella stessa settimana, il che porterebbe il conteggio a più di dodici giurisdizioni statunitensi nel testo originale.

      Ciò che si trova in quei file è la parte scomoda. Gli avvisi inviati agli utenti del tribunale descrivono nomi insieme a numeri di previdenza sociale, numeri di patente, informazioni mediche, date di nascita e informazioni sull'assicurazione sanitaria, e il Minnesota ha avvertito che alcuni documenti riservati o sigillati potrebbero essere stati coinvolti.

      I registri giudiziari non sono un obiettivo di violazione ordinario. Un fascicolo può contenere un'ordinanza di protezione, una questione minorile sigillata o un deposito medico, il che rende l'indirizzo e il numero di telefono ad esso associati di valore considerevolmente maggiore per chiunque lo detenga rispetto agli stessi dettagli prelevati da un rivenditore.

      Thomson Reuters afferma che la piattaforma stessa ha continuato a funzionare. “Non ci sono state interruzioni operative per C-Track” e “i nostri prodotti e servizi rimangono pienamente operativi”, ha dichiarato l'azienda, aggiungendo che ha coinvolto esperti di cybersecurity esterni e ha notificato le forze dell'ordine.

      I singoli tribunali sono stati più diretti. La presidente della Corte Suprema del Minnesota, Natalie Hudson, ha dichiarato di essere “profondamente preoccupata che i dati dei nostri utenti del tribunale siano stati compromessi”, e il presidente della Corte del Montana, Cory Swanson, ha affermato che i suoi tribunali continueranno a lavorare con il team di C-Track “per garantire che i nostri tribunali operino senza timore di compromissione della privacy personale”.

      Il Montana ha appreso della violazione il 23 luglio, sei settimane prima che il pubblico ne fosse a conoscenza. Lo stato ha informato chiunque sia stato parte di un caso giudiziario del Montana che potrebbe essere interessato, e ha sottolineato che i dati erano memorizzati sui server di Thomson Reuters piuttosto che sui propri.

      L'Ufficio Amministrativo dei Tribunali del Kentucky ha dichiarato che i suoi tribunali d'appello “non sono stati funzionalmente compromessi” e che non ci sono “indicazioni al momento che la parte terza non autorizzata abbia distribuito i dati del Kentucky a qualsiasi altra parte o entità.” I suoi tribunali di primo grado sono intatti perché lo stato non utilizza un fornitore esterno per l'e-filing dei tribunali di primo grado.

      Le misure di rimedio stanno seguendo linee familiari. Thomson Reuters sta offrendo dodici mesi di monitoraggio del credito e protezione contro il furto d'identità, ha attivato un centro di assistenza e gli utenti del sistema sono stati costretti a effettuare reset obbligatori delle password.

      Nessuno ha detto chi fosse responsabile. Reuters ha riportato che non è stata in grado di determinare in modo indipendente né l'attaccante né i dettagli specifici di ciò che è stato preso, e nessun gruppo ha rivendicato pubblicamente l'intrusione.

      La forma di ciò sta diventando routine. Un fornitore si trova dietro dozzine di istituzioni, e una singola intrusione raggiunge tutte loro contemporaneamente, il che è accaduto quando un attacco a un fornitore di software piuttosto che a una scuola ha prodotto la più grande violazione di dati educativi mai registrata, e di nuovo quando i dati dei clienti di LastPass sono stati rubati attraverso un fornitore.

      Per Thomson Reuters, che ha ricostruito la sua organizzazione ingegneristica attorno all'IA, il tempismo è scomodo. La sua divisione legale è il nucleo redditizio dell'azienda, e la sua proposta ai tribunali si basa sull'essere il luogo sicuro in cui mettere un fascicolo.

      Il conteggio delle persone interessate non è stato pubblicato. Né è stato pubblicato il meccanismo dell'intrusione, il che lascia le dodici giurisdizioni a descrivere lo stesso incidente in termini leggermente diversi mentre gli attacchi alle organizzazioni statunitensi continuano a cambiare carattere.