Thomson Reuters a confirmé une intrusion dans un environnement cloud lié à C-Track, son logiciel de gestion des affaires judiciaires. Des fichiers contenant notamment des noms et des informations personnelles ont été consultés sans autorisation. Plusieurs juridictions américaines et canadiennes sont concernées, mettant en lumière la dépendance de ces institutions à un même prestataire technologique. Le problème ne se situe pas chez Reuters, mais dans les systèmes des tribunaux
L’incident ne concerne pas l’agence de presse Reuters, mais Thomson Reuters, le groupe de technologies et d’informations professionnelles auquel elle appartient. Parmi ses nombreuses activités, le groupe fournit aux tribunaux C-Track, un logiciel de gestion des dossiers judiciaires.
C-Track accompagne les tribunaux dans une grande partie de leur fonctionnement quotidien. Le logiciel permet notamment de gérer les dossiers, les parties impliquées, les audiences, les calendriers, les dépôts de pièces ou encore l’accès à certains documents. Thomson Reuters présente C-Track comme un système web capable de centraliser notes, mémoires, dépôts et autres éléments d’un dossier judiciaire. Des modules complémentaires permettent également le dépôt électronique de documents, leur archivage ou leur consultation par le public. Lorsqu’une juridiction adopte C-Track, elle ne confie pas seulement à un fournisseur un logiciel administratif. Une partie des informations nécessaires au traitement des affaires peut également transiter ou être stockée dans son environnement technique.
Une intrusion détectée fin juin, mais des accès remontant au mois de mars
Selon Thomson Reuters, cité par Reuters, l’incident a été détecté le 30 juin 2026. L’enquête menée depuis a toutefois montré qu’un acteur non autorisé avait pu accéder à certains fichiers dès le mois de mars. Les documents concernés comportaient notamment des données issues de dossiers judiciaires, dont des noms et d’autres informations personnelles. Le groupe indique avoir isolé et sécurisé l’environnement concerné, fait appel à des spécialistes externes de la cybersécurité et prévenu les autorités. C-Track reste opérationnel.
Le volume exact de données consultées n’est en revanche pas encore connu publiquement. Thomson Reuters n’a pas communiqué de nombre précis de personnes ou de dossiers concernés.
Onze États américains et le Canada concernés
Le périmètre géographique donne toutefois une idée de l’effet qu’une compromission chez un fournisseur commun peut produire. Des juridictions situées dans onze États américains sont concernées, notamment en Alabama, Pennsylvanie, Kentucky, Nevada, Ohio ou encore Caroline du Sud. Les Îles Vierges américaines figurent également dans la liste. Au Canada, les responsables des tribunaux de l’Ontario ont confirmé qu’un accès non autorisé avait eu lieu dans un environnement cloud utilisé pour leurs données.
Reuters rapporte que Thomson Reuters doit ouvrir à partir du 4 septembre des centres d’appel dédiés aux États-Unis et au Canada afin de répondre aux personnes susceptibles d’être concernées.
Un même prestataire derrière plusieurs systèmes judiciaires
L’incident met surtout en évidence une conséquence très concrète de la numérisation des tribunaux. Une juridiction peut sécuriser ses propres postes de travail, son réseau et ses accès internes, tout en dépendant d’un environnement technique exploité par un tiers pour gérer une partie de ses dossiers.
Thomson Reuters commercialise une même plateforme auprès de cours d’appel, de tribunaux de première instance et de juridictions spécialisées. Le fournisseur propose également des fonctions de gestion documentaire, de dépôt électronique et d’accès public aux dossiers.
La mutualisation apporte des gains évidents en matière de dématérialisation et d’exploitation des dossiers. Elle crée aussi un point de concentration : une compromission dans l’environnement du prestataire peut potentiellement affecter plusieurs institutions qui, juridiquement et administrativement, restent pourtant complètement distinctes.
Dans le cas de C-Track, l’enquête doit encore déterminer précisément quelles informations ont été consultées et combien de personnes sont concernées. Mais l’incident montre déjà que la dépendance numérique des institutions publiques ne se mesure plus uniquement aux logiciels qu’elles utilisent, mais aussi aux données qu’elles acceptent de confier à leur fournisseur.
