Thomson Reuters, 미국·캐나다 법원 기록 유출 데이터 침해 사고 공개

Thomson Reuters가 자회사가 운영하는 법원 사건 관리 플랫폼 C-Track에서 발생한 데이터 침해 사고를 공개했습니다. 이번 사고로 최소 미국 12개 주, 미국령 버진아일랜드, 캐나다에 걸친 법원 기록 및 민감한 개인정보가 노출됐습니다.

회사는 수요일 해당 사실을 공개적으로 공시하면서, 미국과 캐나다 피해 개인을 위한 별도 안내 페이지도 함께 게재했습니다.

무슨 일이 있었으며, 언제 발생했나

Thomson Reuters는 2026년 6월 30일 C-Track 정보와 관련된 무단 활동을 발견하고, 외부 사이버보안 전문가 및 법 집행 기관과 함께 즉시 조사에 착수했다고 밝혔습니다.

조사 결과, 2026년 3월에 신원 미상의 제3자가 다음 법원 시스템과 관련된 C-Track 파일 일부를 탈취한 것으로 확인됐습니다.

• 캐나다: 온타리오 항소법원, 온타리오 고등법원, 온타리오 법원
• 미국: 앨라배마 항소법원, 오하이오주 먼로 카운티 민사법원, 펜실베이니아주 워싱턴 카운티 민사법원, 펜실베이니아 제5사법구역, 켄터키 항소법원, 몬태나 대법원, 네바다 항소법원, 노스다코타 대법원, 사우스캐롤라이나 대법원 및 항소법원, 테네시 항소법원 서기실, 뉴햄프셔 대법원, 오하이오 제1·2·3·4·5·6·7·9·11·12 지구 항소법원, 미국령 버진아일랜드 대법원 및 고등법원, 와이오밍 사법부(와이오밍 주 전체 법원 시스템), 펜실베이니아 환경청문위원회(구 고객사)

오리건 사법부도 항소법원이 영향을 받았음을 확인했습니다.

(각 법원이 개별적으로 공시를 내놓으면서 피해 범위가 계속 확대되고 있어, 현재 공개된 목록이 전체가 아닐 가능성이 높습니다.)

Thomson Reuters는 이번 사고가 자사 클라우드 환경 내부에서 발생한 것이며, 피해 법원의 네트워크·시스템·데이터 보안상의 문제로 인한 것이 아님을 강조했습니다.

C-Track은 현재 정상 운영 중이며, 외부 전문가가 검토·승인한 추가 보안 조치가 적용됐다고 덧붙였습니다.

침해가 3월에 시작돼 6월에야 발견됐음에도 불구하고, 공격 주체가 누구인지, 얼마나 많은 데이터가 유출됐는지, 그리고 가장 중요한 공격자가 어떻게 접근했고 수개월간 탐지되지 않은 이유는 무엇인지에 대해 Thomson Reuters는 아직 공개적으로 답하지 않고 있습니다.

어떤 정보가 유출됐을 가능성이 있나

노출 범위는 지역별로 크게 다른 것으로 보입니다.

Thomson Reuters에 따르면 피해 기록에는 개인 이름과 함께 사회보장번호(SSN), 운전면허 번호, 의료 정보, 생년월일, 건강보험 정보 중 하나 이상이 포함될 수 있습니다.

미국 측 공지에는 "일부 법원에서 기밀, 열람 제한, 또는 봉인된 법원 정보도 영향을 받았을 수 있다"고 명시됐습니다.

캐나다의 경우, 피해를 입은 3개 법원의 수석 판사들은 정확히 어떤 정보가 유출됐는지, 피해자가 몇 명인지 아직 파악되지 않았다고 밝혔습니다.

"법원 소송에 관여했거나 법원 문서에 언급된 적이 있는 개인의 경우, 그와 관련된 일부 개인정보가 이번 사고에 포함됐을 가능성이 있습니다"라고 판사들은 언급했습니다.

"법무부와 법원은 Thomson Reuters Canada 및 사이버보안 전문가들과 긴밀히 협력하여 사고의 영향과 적절한 대응 조치를 계속 평가하고 있습니다."

Thomson Reuters는 현재까지 노출된 정보가 사기 또는 기타 불법적 목적으로 사용됐다는 증거를 확보하지 못했으며, 금융 거래를 처리하는 시스템이 영향을 받았다는 증거도 없다고 밝혔습니다.

회사는 피해를 입은 모든 개인에게 12개월간 무료 신용 모니터링 및 신원 도용 보호 서비스를 제공할 예정입니다.