Thomson Reuters의 법원 사건 관리 소프트웨어인 C-Track이 2026년 3월부터 6월 말까지 비인가 접근을 당했습니다. 미국 11개 주, 미국령 버진아일랜드, 캐나다 온타리오 주의 법원 24곳 이상이 영향을 받았으며, 이름·사회보장번호(SSN)·운전면허번호·생년월일·의료 정보 등 민감한 개인정보가 유출됐을 수 있습니다. 특히 일부 법원에서는 봉인(비공개) 처리된 법원 문서의 기밀 정보도 영향을 받았을 가능성이 제기되고 있습니다. Thomson Reuters는 6월 30일 침해를 발견했으나 공개 통보는 9월 2일에야 이루어졌고, 현재 노스다코타 주를 중심으로 형사 수사가 진행 중입니다. 피해 규모·접근 방법·배후는 아직 밝혀지지 않았습니다.
Thomson Reuters의 West Publishing Corporation 자회사가 운영하는 법원 사건 관리 플랫폼 C-Track이 2026년 3월 1일부터 6월 29일까지 비인가 접근을 당했으며, 미국 11개 주 및 캐나다 온타리오 주의 법원 시스템이 피해를 입었다.
이름, SSN(사회보장번호), 운전면허번호, 생년월일, 의료 정보, 건강보험 정보 등이 포함된 법원 기록이 유출됐을 수 있으며, 일부 법원에서는 봉인·기밀 처리된 문서도 영향을 받았을 가능성이 있다. 피해 인원 수는 아직 공개되지 않았다.
Thomson Reuters의 클라우드 환경 내 스토리지에 비인가 접근이 이루어졌으며, 법원이 요청하거나 인지하지 못한 백업 데이터(트러블슈팅용 DB 사본)도 노출 범위에 포함됐다. 오하이오 주 일부 법원의 경우 프로덕션 플랫폼 자체가 접근 대상이었다.
Thomson Reuters는 침해 사실을 7월 23~27일 사이에 각 법원에 통보했으며, 미네소타 사법부는 Thomson Reuters의 접근 권한을 차단하고 비밀번호 변경을 요구했다. 피해 가능 개인에게는 12개월 신용 모니터링 서비스(미국 Experian, 캐나다 TransUnion)를 제공 중이며, 노스다코타 주는 형사 수사를 개시했다.
서드파티 벤더가 법원·기관 측의 인지 없이 클라우드에 백업 데이터를 보관하고 있다가 침해된 사례로, 벤더 계약 시 데이터 보존 위치·정책 및 클라우드 접근 통제 수준을 명시적으로 확인하고 주기적으로 감사하는 것이 필수적이다.
본문
Thomson Reuters는 수요일, 자회사 West Publishing Corporation이 판매하는 법원 사건 관리 플랫폼 C-Track에서 2026년 3월 비인가 당사자가 파일을 탈취했다고 공개했다. 이번 사고는 미국 11개 주, 미국령 버진아일랜드, 캐나다 온타리오 주의 법원에 영향을 미쳤다.
West Publishing은 2026년 6월 30일에 해당 활동을 발견했다고 밝혔다. 일부 법원 기록에는 개인의 이름, 사회보장번호(SSN), 운전면허번호, 생년월일, 의료 정보, 건강보험 정보가 포함됐을 수 있다고 회사 측은 설명했다.
회사는 잠재적 피해자에게 Experian IdentityWorks 신용 모니터링 12개월을 제공하고 있으며, 공지에 게시된 공용 코드를 통해 2026년 12월 31일까지 등록할 수 있다. 문의 전화는 1-833-918-5294이며, 접수 번호 B171847이 필요하다.
캐나다에서는 Thomson Reuters Canada Limited가 TransUnion myTrueIdentity 모니터링 12개월을 제공하며, 콜센터는 9월 4일부터 운영될 예정이다.
"특정 피해 법원의 일부 기밀, 편집(redacted), 봉인(sealed) 정보가 영향을 받았을 수 있다"고 West Publishing은 9월 2일자 공지에서 밝혔으며, 현재까지 사기나 정보 오용의 증거는 없다고 덧붙였다.
West Publishing 공지와 Thomson Reuters Canada Limited의 캐나다 공지에는 다음 법원 시스템이 명시되어 있다.
- 앨라배마(Alabama) - Alabama Appellate Courts
- 켄터키(Kentucky) - Kentucky Appellate Courts
- 몬태나(Montana) - Montana Supreme Court
- 네바다(Nevada) - Nevada Appellate Courts
- 뉴햄프셔(New Hampshire) - The New Hampshire Supreme Court
- 노스다코타(North Dakota) - North Dakota Supreme Court
- 오하이오(Ohio) - 제1, 2, 3, 4, 5, 6, 7, 9, 11, 12 항소구 법원
- 펜실베이니아(Pennsylvania) - 펜실베이니아 주 환경청문위원회(전 고객), Court of Common Pleas of Washington County, Fifth Judicial District of Pennsylvania, 공지에서 군(county) 명으로만 표기된 Court of Common Pleas of Monroe County
- 사우스캐롤라이나(South Carolina) - Supreme Court of South Carolina 및 South Carolina Court of Appeals
- 테네시(Tennessee) - Tennessee Appellate Court Clerk's Office
- 와이오밍(Wyoming) - Wyoming Judicial Branch
- 미국령 버진아일랜드(U.S. Virgin Islands) - 최고법원 및 상급법원
- 온타리오(Ontario) - Court of Appeal for Ontario, Ontario Superior Court of Justice, Ontario Court of Justice
The Hacker News가 2026년 9월 3일 West Publishing 공지를 확인한 결과, 미국 11개 주 및 미국령 버진아일랜드 소재 24개 법원 기관이 열거되어 있으며, 미네소타(Minnesota)는 목록에서 빠져 있었다.
미네소타 사법부(Minnesota Judicial Branch)는 9월 2일, 항소법원 데이터가 이번 사고로 노출됐다고 밝히면서 Thomson Reuters의 법원 전자 환경 접근을 차단했으며, 항소 사건 관리 시스템 사용자들에게 비밀번호 변경을 요구했다. 미네소타 대법원장 Natalie Hudson은 "우리 법원 이용자 데이터가 침해된 것에 깊은 우려를 표한다"고 말했다.
몬태나 대법원(Montana Supreme Court) 발표에 따르면, 탈취된 자료는 Thomson Reuters 서버에 저장된 백업 데이터로, "애플리케이션 트러블슈팅 목적으로 TR에 제공된" 데이터베이스 사본에서 가져온 것이었다.
해당 데이터베이스에는 사건 번호, 당사자 이름 및 주소, 전화번호, 혐의 내용 및 기록 설명이 포함될 수 있으며, 형사 피의자 일부의 운전면허번호와 생년월일도 포함될 수 있다고 발표에서 밝혔다.
해당 스토리지에 대한 비인가 접근은 법원이 공개한 벤더 공지 내용에 따르면 2026년 3월 1일부터 6월 29일까지 이루어졌다.
앨라배마 항소법원(Alabama Appellate Courts)은 West Publishing이 나중에 일부 앨라배마 항소법원 데이터의 사본이 회사 클라우드 환경 내 백업 파일에 보관되어 있었다고 알려왔으며, 이는 법원이 요청하거나 알지 못했던 백업이라고 밝혔다.
"이번 사고는 우리 시스템이 아닌 벤더의 시스템에서 발생했다"고 앨라배마 대법원장 Sarah Stewart는 말했다.
그러나 오하이오 대법원(Supreme Court of Ohio)은 별도의 성명에서, Thomson Reuters Court Management Solutions(TRCMS)가 8월 31일 "비인가 접근이 법원의 프로덕션 플랫폼에서 이루어졌다"고 통보했다고 밝혔다. 해당 플랫폼은 C-Track을 사용하는 오하이오 10개 항소구의 전자 접수 시스템 데이터를 호스팅하며, 제8구와 제10구는 영향을 받지 않았다.
The Hacker News는 어떤 환경이 접근됐는지, 미네소타 법원이 실제로 영향을 받았는지에 대해 Thomson Reuters에 해명을 요청했으며, 답변을 받는 대로 기사를 업데이트할 예정이다.
"이번 사고로 인한 C-Track의 운영 중단은 없었다"고 Thomson Reuters 대변인이 Reuters에 밝혔으며, 회사는 플랫폼을 계속 사용해도 안전하다고 판단한다고 덧붙였다.
오하이오 대법원은 TRCMS가 배포했다고 밝힌 강화된 보안 조치에 대한 종합적인 세부 내용을 아직 받지 못했다고 전했다.
온타리오 항소법원, 상급법원, 법원은 세 수석 대법관의 공동 성명에서 Thomson Reuters가 클라우드 환경 중 하나에서 활동을 탐지했다고 밝혔다. 수석 대법관들은 "어떤 정보가 침해됐는지 아직 불분명하다"며, 법원 절차에 관여했거나 법원 문서에 언급된 모든 사람의 개인정보가 영향을 받았을 가능성이 있다고 말했다.
와이오밍(Wyoming)의 경우, 탈취된 자료는 주로 2015년부터 2025년 사이 해당 법원과 관련된 사람들과 관련된 와이오밍 대법원 및 지방법원의 역사적 데이터였다고 와이오밍 사법부 발표에서 밝혔다.
예비 검토 결과 "이름, 주소, 생년월일 등 제한된 개인정보가 침해된 것으로 나타났다"고 덧붙였다. 와이오밍은 문의 전화 운영 시간을 산악 표준시(MT) 오전 7시~오후 7시로 안내했다.
버진아일랜드 법원은 7월 27일 통보를 받았으며, 현재까지 접근된 데이터가 "2018년 시스템 구현 프로젝트와 관련된 것"임만 확인할 수 있다고 밝혔다.
켄터키(Kentucky)의 경우, 주가 전자 접수에 서드파티 벤더를 사용하지 않기 때문에 1심 법원 전자 접수는 영향을 받지 않았다고 켄터키 법원 행정처가 밝혔으며, "현재로서는 비인가 제3자가 켄터키 데이터를 유포했다는 징후가 없다"고 덧붙였다.
몬태나와 미네소타는 법원 문서가 접근 데이터에 포함되지 않았다고 각각 밝혔으나, 벤더 공지에서는 특정 법원에서 봉인 자료가 영향을 받았을 수 있다고 언급했다.
벤더는 7월 23일부터 27일 사이에 각 법원과 온타리오 법무부에 통보했다. 공개 발표는 몬태나 측이 밝힌 바에 따르면 벤더와 다른 관련 주들이 동시에 발표할 수 있도록 선택된 날짜인 9월 2일에 이루어졌다.
9월 3일 기준, 피해 개인 수, 파일 탈취 방법, 책임자의 신원을 공개한 당사자는 없었다.
노스다코타(North Dakota) 성명은 이번 사고가 노스다코타 대법원 데이터만 관련됐으며, 주의 지방법원과 Odyssey 시스템은 영향을 받지 않았다고 밝혔다. 금융 거래 처리에 사용되는 nCourt 시스템이 영향을 받았다는 증거도 없다고 덧붙였다.
"이번 사고에 대한 형사 수사가 진행 중이다"라고 노스다코타 법원 시스템은 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
