Thomson Reuters confirmó un incidente en C-Track, su plataforma de gestión de expedientes judiciales: una parte no autorizada obtuvo archivos en marzo de 2026 y la actividad fue detectada el 30 de junio en un entorno cloud. La notificación pública del 2 de septiembre incluye tribunales de Ontario y sistemas judiciales de once estados de Estados Unidos, además de las Islas Vírgenes estadounidenses. Algunos registros afectados podían contener nombres, datos personales e información confidencial, tachada o sellada.
El caso tiene una lectura empresarial que va más allá del sector justicia. C-Track centraliza documentos, flujos, reportes y acceso público para procesos en los que la confidencialidad no depende solo del cliente que genera el dato. Cuando un proveedor SaaS aloja información crítica, la organización conserva responsabilidades sobre clasificación, acceso, supervisión, notificación y respuesta. La continuidad del servicio tampoco equivale a ausencia de brecha: Thomson Reuters afirmó que C-Track siguió operativo, mientras la investigación analizaba archivos obtenidos meses antes.
Para compañías en España y Colombia, la pregunta práctica no es si utilizan esta plataforma concreta. Es si conocen qué proveedores almacenan documentos legales, laborales, financieros o de clientes; qué registros permiten reconstruir un acceso; y cuánto tardarían en determinar personas, archivos y obligaciones afectadas. Esa capacidad diferencia una respuesta verificable de una reacción basada en suposiciones.
Qué está confirmado sobre C-Track
La comunicación de los tres presidentes de los tribunales de Ontario indica que Thomson Reuters detectó actividad no autorizada dentro de uno de sus entornos cloud el 30 de junio. La investigación concluyó que, en marzo, una parte no autorizada había obtenido determinados archivos relacionados con el Tribunal de Apelación, el Tribunal Superior de Justicia y el Tribunal de Justicia de Ontario. El Ministerio del Fiscal General de la provincia fue informado el 23 de julio.
El portal de notificación de C-Track añade que una parte de los registros judiciales resultó afectada. Algunos podían incluir información personal y, para ciertos tribunales, material confidencial, censurado o bajo sello. No se publicó un número definitivo de personas ni una enumeración uniforme de campos. Tampoco existe evidencia, hasta la comunicación, de fraude o uso indebido, y no se identificó afectación a sistemas de pagos.
Reuters informó además que la notificación estadounidense enumera Alabama, Pensilvania, Kentucky, Montana, Nevada, Dakota del Norte, Carolina del Sur, Tennessee, Ohio, New Hampshire, Wyoming y las Islas Vírgenes. La empresa comunicó a los clientes afectados, involucró especialistas externos y autoridades, contuvo la actividad e implantó medidas adicionales. No atribuyó públicamente el incidente a un actor.
| Dato confirmado | Límite de la información | Decisión defensiva |
|---|---|---|
| Archivos obtenidos en marzo; detección el 30 de junio | No se ha explicado públicamente el vector inicial | Revisar retención de logs y tiempo de detección en cada SaaS crítico |
| Registros judiciales y datos personales potencialmente incluidos | El contenido varía por tribunal y expediente | Mapear datos por repositorio, titular y nivel de confidencialidad |
| Sin interrupción operativa de C-Track | Disponibilidad no descarta pérdida de confidencialidad | Medir incidentes en las tres dimensiones: confidencialidad, integridad y disponibilidad |
| Contención, expertos externos y notificación a autoridades | Las salvaguardas nuevas no se detallaron | Solicitar evidencia de remediación y validación independiente |
La brecha puede existir aunque el servicio funcione
Las empresas suelen asociar “incidente grave” con sistemas caídos, pantallas bloqueadas o operaciones detenidas. C-Track muestra otro patrón: la plataforma continuó disponible y los tribunales mantuvieron su actividad, pero la confidencialidad de determinados archivos podía haberse perdido. Un atacante que copia documentos sin alterar el servicio reduce las señales visibles y puede conservar valor durante más tiempo.
Por eso el monitoreo debe observar acciones sobre datos, no solo salud de infraestructura. Resultan relevantes las descargas atípicas, consultas masivas, accesos fuera de horario, tokens usados desde nuevas ubicaciones, cambios de permisos, exportaciones, búsquedas repetidas y lectura de documentos sellados. El proveedor debe distinguir una consulta legítima de un patrón incompatible con el rol del usuario.
El intervalo entre marzo y junio también recuerda que la fecha de intrusión, la fecha de detección, la confirmación de alcance y la comunicación pública son hitos diferentes. Un plan de respuesta necesita registrar cada uno. La evaluación legal y de riesgo suele depender de cuándo se conoció suficiente información para afirmar que datos personales o información regulada podían estar comprometidos.
Por qué un expediente exige controles reforzados
Un expediente judicial puede reunir más contexto que muchas bases corporativas: identidad, domicilio, relaciones familiares, salud, empleo, patrimonio, alegaciones, peritajes y comunicaciones. La combinación permite fraude, extorsión, acoso o ingeniería social aunque ningún campo aislado sea una credencial. El material sellado o censurado añade un riesgo especial porque su restricción responde a una decisión formal.
En una empresa ocurre algo comparable con litigios, investigaciones internas, debida diligencia, expedientes disciplinarios y documentación de recursos humanos. Guardarlos en un gestor cloud sin clasificación granular puede ampliar la población con acceso y dificultar saber qué salió. El inventario debe relacionar repositorio, propietario, base de legitimación, periodo de conservación, destinatarios y dependencia del proveedor.
Un Security GAP Assessment permite contrastar esa realidad con controles esperados: acceso por rol, MFA, cifrado, segregación, trazabilidad, alertas, copias, borrado, gestión de claves y respuesta del tercero. Su valor no es producir una lista genérica, sino localizar dónde un documento sensible carece de propietario o evidencia suficiente.
Qué exigir a un proveedor de expedientes cloud
El contrato debe describir categorías de datos, ubicaciones, subencargados, niveles de servicio, notificación, conservación de evidencia, cooperación forense, auditorías y eliminación al terminar. Sin embargo, una cláusula no demuestra que el control funcione. Conviene solicitar arquitectura de aislamiento, alcance de certificaciones, pruebas recientes, resumen de incidentes, matriz de responsabilidades y evidencia de cierre de hallazgos.
La organización también necesita acceso oportuno a registros. Un portal que solo conserva treinta días puede ser insuficiente para investigar actividad descubierta meses después. Defina eventos mínimos, formato de exportación, zona horaria, integridad, retención y disponibilidad durante una contingencia. Si el proveedor administra identidades, determine cómo se revocan sesiones, cuentas de soporte y accesos privilegiados.
El servicio de CISO as a Service ayuda a convertir estas exigencias en un ciclo: clasificar proveedores, asignar responsables, revisar evidencia, registrar excepciones, elevar riesgos a dirección y verificar planes de salida. La supervisión debe concentrarse en los terceros que pueden acceder a información crítica, no repartir el mismo cuestionario a cada proveedor.
Plan de respuesta para las primeras 48 horas
- Activar gobierno del incidente. Nombre responsables de seguridad, privacidad, legal, negocio y comunicación. Registre decisiones y preserve confidencialidad.
- Delimitar proveedor y servicio. Identifique entornos, cuentas, integraciones, subencargados y tipos de documentos potencialmente incluidos.
- Preservar registros. Exporte logs de identidad, aplicación, nube, endpoints y red antes de rotaciones o cambios. Mantenga hashes y cadena de custodia.
- Contener sin borrar señales. Revoque sesiones y claves comprometidas, limite exportaciones y aísle cuentas, coordinando cada acción con el equipo investigador.
- Construir una línea de tiempo. Correlacione autenticación, consultas, descargas, permisos y comunicaciones del proveedor.
- Evaluar datos y personas. Determine qué archivos, titulares, jurisdicciones y riesgos están implicados. Evite comunicar cifras no verificadas.
- Validar la remediación. Pruebe el vector corregido, la revocación, las reglas de alerta y la ausencia de persistencia antes de cerrar.
Cuando el alcance no es claro, un Análisis Forense Digital preserva evidencia y reconstruye qué identidad realizó qué acción sobre qué objeto. En documentos legales o regulados, la trazabilidad y la cadena de custodia pueden ser tan importantes como la corrección técnica.
Lectura para España y Colombia
En España, un encargado o proveedor cloud no traslada fuera de la empresa la responsabilidad de gobernar el tratamiento. Ante una posible violación de datos personales deben evaluarse naturaleza, volumen, interesados, consecuencias y medidas aplicadas. RGPD, ENS, NIS2 o DORA pueden añadir exigencias según sector, entidad y servicio; la obligación concreta debe revisarse con asesoría jurídica y evidencia técnica.
En Colombia, responsables y encargados necesitan conocer dónde se procesa la información, controlar accesos, gestionar incidentes y poder responder ante titulares y autoridades. Los expedientes con datos sensibles, menores, salud o actuaciones judiciales merecen prioridad. La empresa debe documentar la evaluación bajo el régimen aplicable y requisitos contractuales, sin copiar automáticamente plazos de otra jurisdicción.
En ambos mercados, la señal es común: los datos críticos viajan por ecosistemas. El diseño e implementación de un SGSI integra inventario, evaluación de riesgos, proveedores, incidentes, continuidad y mejora en una estructura auditable. La certificación puede aportar confianza, pero el objetivo operativo es disponer de controles y evidencia cuando ocurra una brecha real.
Preguntas frecuentes
¿C-Track dejó de funcionar por el incidente?
No. Thomson Reuters y los tribunales de Ontario indicaron que no hubo interrupción operativa y que la plataforma seguía disponible. El incidente afectó potencialmente la confidencialidad de archivos, no necesariamente la disponibilidad.
¿Se sabe cuántas personas fueron afectadas?
No se publicó una cifra definitiva. La investigación continuaba determinando contenido, tipos de información y número de personas por cada tribunal.
¿Hubo robo de información financiera?
La notificación canadiense señala que no existe indicación de afectación a sistemas usados para procesar transacciones financieras. Eso no elimina el posible impacto de nombres, datos personales o registros confidenciales.
¿Una certificación del proveedor evita esta clase de incidentes?
No. Una certificación demuestra que un sistema de controles fue evaluado dentro de un alcance y momento determinados. El cliente debe revisar alcance, excepciones, evidencia operativa, cambios y respuesta a incidentes.
¿Qué registro debería pedir primero?
Solicite una exportación íntegra de autenticaciones, sesiones, consultas, descargas, permisos y acciones administrativas para el periodo relevante, con zona horaria, identidad, dirección de origen y objeto afectado.
Convierta incertidumbre en evidencia verificable
Insylux evalúa proveedores cloud, preserva evidencia y diseña controles para datos sensibles en empresas de España y Colombia. La intervención se adapta al momento: diagnóstico preventivo, investigación activa o fortalecimiento del SGSI después del incidente.
Fuentes verificadas
- C-Track Canada, portal oficial de notificación del incidente, publicado el 2 de septiembre de 2026.
- Tribunales de Ontario, declaración conjunta de sus tres presidentes, 2 de septiembre de 2026.
- Reuters, alcance en Estados Unidos y Canadá y respuesta de Thomson Reuters, 3 de septiembre de 2026.
- Thomson Reuters, descripción oficial de las funciones de C-Track.
Fuentes consultadas el 3 de septiembre de 2026. No se atribuye el incidente ni se estima una población afectada porque las fuentes oficiales no lo han confirmado. El análisis de controles y las recomendaciones son elaboración defensiva del Equipo Insylux.
