トムソン・ロイターは、傘下企業が運営する裁判事件管理プラットフォーム「C-Track」を狙った情報漏えいを公表しました。この漏えいにより、米国内少なくとも12州、米領バージン諸島、カナダの裁判所にまたがる裁判記録や機密性の高い個人情報が流出したとみられています。
同社は水曜日にこの件を公表し、あわせて影響を受けた個人向けの通知ページを米国およびカナダそれぞれ別々に開設しました。
何が、いつ起きたのか
トムソン・ロイターによると、C-Trackに関する不審な活動を2026年6月30日に検知し、外部のサイバーセキュリティ専門家および法執行機関とともに調査を開始したとしています。
調査の結果、2026年3月に何者かが権限なくC-Trackのファイルにアクセスし、以下の裁判所システムに関連するファイルを取得していたことが判明しました。
- カナダ:
- オンタリオ州控訴裁判所
- オンタリオ州上級裁判所
- オンタリオ州裁判所
- 米国:
- アラバマ州控訴裁判所
- モンロー郡（オハイオ州）簡易裁判所
- ワシントン郡（ペンシルベニア州）簡易裁判所
- ペンシルベニア州第5司法管区
- ケンタッキー州控訴裁判所
- モンタナ州最高裁判所
- ネバダ州控訴裁判所
- ノースダコタ州最高裁判所
- サウスカロライナ州最高裁判所およびサウスカロライナ州控訴裁判所
- テネシー州控訴裁判所書記局
- ニューハンプシャー州最高裁判所
- オハイオ州第1、第2、第3、第4、第5、第6、第7、第9、第11、第12控訴裁判管区
- 米領バージン諸島最高裁判所および上級裁判所
- ワイオミング州司法部（すなわちワイオミング州の州裁判所システム全体）
- ペンシルベニア邦環境審問委員会（現在は同社の顧客ではない旧クライアント）
オレゴン州司法局も、同州の控訴裁判所が影響を受けたことを確認しました。
（各裁判所がそれぞれ独自に開示を進めているため被害範囲は拡大を続けており、影響を受けた管轄区域の全容はいまだ判明していない可能性があります。）
同社は、今回の事案は自社の（クラウド）環境内で発生したものであり、影響を受けた各裁判所のネットワーク、システム、あるいはセキュリティ体制に起因するものではないと強調しています。
C-Trackは現在も完全に稼働しており、外部専門家によるレビューと承認を経た追加のセキュリティ対策も導入済みだとしています。
漏えいは2026年3月に始まり2026年6月に発覚したとされていますが、攻撃者は誰なのか、どのようなデータがどの程度盗まれたのか、そして何より攻撃者がどのようにしてアクセス権を得て、なぜ数か月間も気付かれずに潜んでいられたのかといった重要な疑問について、トムソン・ロイターは今のところ公に答えていません。
アクセスされた可能性のある情報
流出の範囲は地域によって大きく異なるようです。
トムソン・ロイターによると、影響を受けた記録には氏名に加え、社会保障番号、運転免許証番号、医療情報、生年月日、健康保険情報のうち一つ以上が含まれていた可能性があるとしています。
米国側の通知には「一部の裁判所では、非公開・編集済み・封印された裁判所情報も影響を受けた可能性があります」と記載されています。
カナダ側では、影響を受けた3つの裁判所の首席判事らが、具体的にどの情報が漏えいしたのか、あるいは何人が影響を受けたのかは依然として不明であると述べています。
判事らは「裁判手続きに関与していた、または裁判文書に氏名が記載されていた個人については、本人に関する一部の個人情報が今回の事案に関わっていた可能性があります」と指摘しています。
「（司法長官）省および各裁判所は、今回の事案の影響と適切な対応策を評価するため、引き続きトムソン・ロイター・カナダおよびサイバーセキュリティ専門家と緊密に連携しています」としています。
トムソン・ロイターは、現時点で流出した情報が不正利用や詐欺に使われた証拠、あるいは金融取引処理に使用されるシステムが影響を受けた証拠はないとしています。
同社は、影響を受けたすべての個人に対し、12か月間の無料信用監視サービスおよびID盗難保護サービスを提供する予定です。
