トムソン・ロイターの裁判所管理システム「C-Track」に不正アクセス、個人情報や非公開記録が流出の恐れ

要点

• トムソン・ロイター傘下の裁判所事件管理プラットフォーム「C-Track」が不正アクセスを受け、2026年3月にデータが外部取得されていたことが判明した。

• 影響は米国11州や米領バージン諸島、カナダ・オンタリオ州などの司法機関に及び、社会保障番号や機密指定された裁判記録などが含まれる可能性がある。

• 不正アクセスは2026年3月から6月にかけて行われていたが、検知は6月末であり、バックアップや本番環境の侵害を巡り各裁判所の発表に違いが出ている。

• トムソン・ロイターは現時点で情報の不正利用は確認されておらず通常運用に支障はないと説明し、対象者へ1年間の信用監視サービスを提供している。

• 大手情報サービス企業トムソン・ロイター（Thomson Reuters）の傘下部門が提供する裁判所向け事件管理システムにおいて、第三者による不正アクセスが発生し、機密データや個人情報が外部に流出した可能性があることが2026年9月に明らかになった。同社傘下のウェスト・パブリッシング（West Publishing Corporation）が公表した通知によると、インシデントは2026年3月に発生し、同年6月30日に検知されたという。影響は米国の複数州やカナダの裁判所システムに及んでおり、各司法機関が対応を進めている。

インシデントの概要と流出の可能性があるデータ

不正アクセスを受けたのは、ウェスト・パブリッシングが販売する裁判所向け事件管理プラットフォーム「C-Track」である。同社の発表によると、2026年3月に権限を持たない第三者によってファイルが取得されたことが確認された。

流出した可能性のある裁判記録の一部には、個人の氏名をはじめ、社会保障番号（SSN：米国の公的個人識別番号）、運転免許証番号、生年月日、医療情報、健康保険情報などが含まれているという。また、特定の裁判所においては、機密情報や編集・墨塗りされた情報、非公開として封印された記録（Sealed Data）も影響を受けた可能性があるとされている。

ウェスト・パブリッシングは2026年9月2日付の通知において、現時点でこれらの情報が悪用されたり、詐欺行為に利用されたりした証拠は確認されていないと説明している。

影響を受けた広範な司法機関

ウェスト・パブリッシングおよびトムソン・ロイター・カナダが公開した通知によると、影響を受けた裁判組織は米国の11州、米領バージン諸島、およびカナダ・オンタリオ州にまたがっている。米国の通知には計24の司法組織が記載されている。

対象として挙げられている主な司法機関は以下の通りである。

• 米国各州: アラバマ州（上訴裁判所）、ケンタッキー州（上訴裁判所）、モンタナ州（最高裁判所）、ネバダ州（上訴裁判所）、ニューハンプシャー州（最高裁判所）、ノースダコタ州（最高裁判所）、オハイオ州（控訴裁判所10地区：第1〜第7、第9、第11、第12地区）、ペンシルベニア州（環境審理委員会［過去の顧客］、ワシントン郡通常訴訟裁判所、第5司法地区、モンロー郡通常訴訟裁判所）、サウスカロライナ州（最高裁判所および控訴裁判所）、テネシー州（上訴裁判所書記官室）、ワイオミング州（司法支部）
• 米領: 米領バージン諸島（最高裁判所および上級裁判所）
• カナダ: オンタリオ州（控訴裁判所、高等裁判所、オンタリオ州裁判所）

なお、通知リストには含まれていなかったものの、ミネソタ州司法支部は9月2日、自州の上訴裁判所データが本インシデントで流出したと発表した。同支部はトムソン・ロイターのアクセス権限を遮断し、利用者に対してパスワード変更を求めている。ミネソタ州最高裁判所長官のナタリー・ハドソン（Natalie Hudson）氏は、利用者のデータが侵害されたことに対して深い懸念を表明している。

データ保管場所と侵入経路をめぐる各裁判所の発表

今回のインシデントにおいて、どの環境のデータが侵害されたかについては、関係機関の説明に食い違いが見られる。

モンタナ州最高裁判所の発表によると、流出したデータはトラブルシューティング（不具合調査）目的でトムソン・ロイターに提供されていたデータベースのコピーから作成されたバックアップデータだったという。このストレージへの不正アクセスは2026年3月1日から6月29日まで続いていたとベンダーから説明を受けており、事件番号、当事者の氏名や住所、電話番号、訴条や記録概要、一部の刑事事件被告人の運転免許証番号や生年月日が含まれる可能性があるとしている。

アラバマ州上訴裁判所も同様に、クラウド環境内のバックアップファイルにデータが保管されていたと説明を受けたとしているが、このバックアップは裁判所側が要求したものでも把握していたものでもなかったという。同裁判所長官のサラ・スチュワート（Sarah Stewart）氏は「この事象はベンダー側のシステム内で発生したものであり、当裁判所のシステムで起きたものではない」と強調している。

一方で、オハイオ州最高裁判所は8月31日、トムソン・ロイター・コート・マネジメント・ソリューションズ（TRCMS）から「不正アクセスは裁判所の本番環境（production platform）で発生した」との連絡を受けたと発表した。同プラットフォームはC-Trackを利用するオハイオ州の10の控訴地区のデータをホストしている（第8および第10地区は影響なし）。オハイオ州最高裁判所は、セキュリティ強化に関する詳細な報告をまだ受けていないとしている。

ベンダー側の対応とシステムの運用状況

影響を受けた可能性のある個人への支援として、トムソン・ロイターは信用監視サービス（不正な口座開設や個人情報の悪用を監視するサービス）の無償提供を行っている。

米国では、Experianの「IdentityWorks」を12か月間利用できる登録コードを公開しており、2026年12月31日まで登録を受け付けている。カナダでは、トムソン・ロイター・カナダがTransUnionの「myTrueIdentity」を12か月間提供し、9月4日からコールセンターを開設するとしている。

トムソン・ロイターの広報担当者はロイターに対し、「本件によるC-Trackの業務中断や運用上の支障は生じていない」と述べ、プラットフォームの安全性は維持されており、引き続き利用可能であるとの見解を示している。