Por Canuto  

Una brecha detectada en el entorno de nube de Thomson Reuters alcanzó archivos de tribunales de apelaciones en 11 estados de Estados Unidos, las Islas Vírgenes estadounidenses y Ontario. Los avisos describen la posible exposición de nombres, números de Seguro Social, licencias de conducir, información médica y otros datos delicados, mientras la empresa ofrece monitoreo de crédito y protección contra el robo de identidad.
***

  • Los archivos afectados pertenecían a C-Track, una plataforma de gestión de casos utilizada por poderes judiciales.
  • La actividad fue detectada el 30 de junio, aunque los archivos habrían sido sustraídos en marzo.
  • Thomson Reuters ofrece doce meses de monitoreo de crédito y protección contra el robo de identidad.

Thomson Reuters confirmó que una parte no autorizada accedió a archivos pertenecientes a C-Track, su plataforma de gestión de casos para tribunales. La intrusión alcanzó registros de tribunales de apelaciones en 11 estados de Estados Unidos y las Islas Vírgenes estadounidenses, además de Ontario, Canadá, lo que convirtió un incidente dentro de un proveedor tecnológico en un problema simultáneo para varios sistemas judiciales.

La empresa detectó actividad sospechosa en su entorno de nube el 30 de junio, según la información publicada por The Next Web con base en un reporte de Reuters. Sin embargo, los archivos habrían sido sustraídos en marzo, por lo que transcurrieron aproximadamente tres meses entre el acceso y su detección, además de más de dos meses hasta la divulgación pública.

Una brecha con alcance multijurisdiccional

La divulgación pública ocurrió el 2 de septiembre, cuando varios sistemas judiciales estatales difundieron avisos relacionados con el mismo incidente. Las jurisdicciones identificadas incluyen Alabama, Kentucky, Montana, Nevada, New Hampshire, Dakota del Norte, Ohio, Pensilvania, Carolina del Sur, Tennessee, Wyoming y las Islas Vírgenes de Estados Unidos, junto con Ontario.

El recuento podría ser incluso mayor, porque la rama judicial de Minnesota también reveló una exposición durante esa misma semana. La información disponible no establece todavía una cifra total de personas afectadas, y los distintos tribunales han descrito el incidente con variaciones sobre el alcance concreto de los archivos comprometidos.

La distribución geográfica del caso refleja un riesgo conocido en la seguridad de la información: un solo proveedor puede concentrar datos de numerosas instituciones. Cuando ese proveedor sufre una intrusión, el incidente deja de ser un problema aislado de una organización y puede propagarse, al mismo tiempo, por sistemas públicos con responsabilidades y marcos legales diferentes.

C-Track es vendido por la división de software para tribunales de Thomson Reuters y sirve como plataforma de gestión de casos para poderes judiciales. La empresa sostiene que la plataforma continuó funcionando y que no se produjo una interrupción operativa, pero la continuidad del servicio no elimina las preguntas sobre la confidencialidad de los archivos almacenados en su infraestructura.

Qué datos pudieron quedar expuestos

Los avisos enviados a usuarios de los tribunales describen archivos que podían contener nombres, números de Seguro Social, números de licencia de conducir, fechas de nacimiento, información médica e información de seguro médico. Estos elementos no aparecen necesariamente en todos los documentos afectados, pero su posible combinación eleva el riesgo de suplantación de identidad, fraude y exposición de información personal.

Minnesota advirtió además que algunos documentos confidenciales o sellados también podrían haber sido alcanzados por la exposición. En el ámbito judicial, esa posibilidad resulta especialmente delicada porque un expediente puede incluir órdenes de protección, casos juveniles sellados o presentaciones médicas, materiales cuya divulgación puede causar daños que van más allá de una pérdida financiera inmediata.

Los registros judiciales tampoco tienen el mismo contexto que una base de datos comercial ordinaria. Una dirección, un número telefónico o un dato médico asociado con un proceso judicial puede revelar relaciones familiares, conflictos legales o circunstancias vulnerables, y por eso adquiere un valor adicional para quien busque utilizar la información con fines de extorsión o fraude.

Hasta ahora no se ha publicado el número de individuos potencialmente afectados ni un inventario definitivo de los documentos sustraídos. Reuters informó que no pudo determinar de forma independiente quién fue el atacante ni cuáles fueron exactamente los datos extraídos, y ningún grupo ha reclamado públicamente la responsabilidad por la intrusión.

La respuesta de Thomson Reuters y de los tribunales

Thomson Reuters afirmó que contrató a especialistas externos en ciberseguridad y que notificó a las autoridades correspondientes. La compañía también señaló que sus productos y servicios seguían completamente operativos, una precisión dirigida a diferenciar la exposición de datos de una caída o una interrupción funcional de C-Track.

La respuesta de los tribunales mostró un tono más enfocado en las consecuencias para las personas. Natalie Hudson, presidenta del Tribunal Supremo de Minnesota, dijo estar “profundamente preocupada de que los datos de nuestros usuarios de los tribunales hayan sido comprometidos”, mientras que Cory Swanson, presidente del Tribunal Supremo de Montana, vinculó la cooperación con C-Track a la necesidad de proteger la privacidad personal.

Montana informó que conoció la brecha el 23 de julio, aproximadamente seis semanas antes de que el incidente llegara al conocimiento público. El estado notificó a cualquier persona que haya sido parte de un caso judicial en Montana que podría estar afectada y subrayó que los datos estaban alojados en servidores de Thomson Reuters, no en los sistemas estatales.

Kentucky comunicó que sus tribunales de apelaciones no sufrieron deterioro funcional y que no existían indicios, en ese momento, de que la parte no autorizada hubiera distribuido los datos de Kentucky a otra persona o entidad. El estado también aclaró que sus tribunales de primera instancia no fueron alcanzados, porque no utiliza un proveedor externo para la presentación electrónica de documentos en esas instancias.

Una dependencia tecnológica difícil de ignorar

Las medidas de remediación anunciadas siguen un patrón habitual después de una exposición de información personal. Thomson Reuters ofrece doce meses de monitoreo de crédito y protección contra el robo de identidad, habilitó un centro de llamadas y obligó a los usuarios del sistema a restablecer sus contraseñas como parte de la respuesta inmediata.

Esas acciones pueden ayudar a reducir algunos riesgos, pero no restituyen el control sobre documentos que pudieron haber sido sustraídos. El monitoreo de crédito sirve principalmente para detectar señales posteriores de fraude, mientras que el cambio de contraseñas protege las cuentas frente a ciertos accesos futuros, sin resolver por sí mismo la exposición de datos ya almacenados o descargados.

El caso se suma a una serie de incidentes en los que un proveedor tecnológico se convierte en el punto de entrada hacia muchas instituciones. Un ataque contra un proveedor de software produjo la mayor brecha de datos educativos registrada, y los datos de clientes de LastPass también fueron robados a través de un proveedor, ejemplos que muestran cómo la concentración operativa puede ampliar rápidamente el impacto de una intrusión.

Para Thomson Reuters, el momento resulta incómodo porque la empresa ha estado reconstruyendo su organización de ingeniería alrededor de la inteligencia artificial, mientras su división legal constituye el núcleo rentable del negocio. La propuesta de C-Track para los tribunales depende, en buena medida, de ofrecer un lugar seguro para depositar expedientes, de modo que la brecha plantea un problema de confianza además de uno técnico.

La empresa aún no ha publicado el mecanismo de la intrusión, y tampoco se conoce con precisión qué archivos fueron sustraídos ni cuántas personas recibirán notificaciones. Mientras continúan las investigaciones externas y las comunicaciones de cada jurisdicción, el incidente deja una advertencia concreta para los sistemas judiciales: la seguridad de sus datos también depende de los controles, la vigilancia y la transparencia de los proveedores que operan fuera de sus propios servidores.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados