根據 The Hacker News 的報導，全球法律資訊巨頭 Thomson Reuters 旗下的 West Publishing Corporation 近期披露了一起嚴重的數據外洩事件。此次事件的核心在於其提供的法院案件管理平台 C-Track 遭到未經授權的第三方入侵，導致美國 11 個州、美屬維京群島以及加拿大安大略省的多個法院系統數據外洩。這次事件不僅涉及大量個資，更觸及法律體系中極其敏感的密封文件，對司法機關的數據治理與供應鏈安全敲響了警鐘。
事件背景與外洩範圍
此次安全漏洞發生在 2026 年 3 月，但直到 6 月 30 日才被 West Publishing 偵測到。受影響的範圍極廣，涵蓋了包括阿拉巴馬州、肯塔基州、蒙大拿州、俄亥俄州、賓夕法尼亞州、南卡羅來納州、田納西州、懷俄明州、北達科他州在內的多個美國司法系統，以及加拿大的高等法院與法院公正廳。
外洩的數據類型極其敏感。除了基本的姓名、地址與電話號碼外，部分受影響的記錄中包含社會安全號碼（SSN，美國公民的唯一身分識別碼）、駕照號碼、出生日期，甚至涉及醫療資訊與健康保險資料。最令人擔憂的是，West Publishing 承認部分法院的機密、經過遮蔽（Redacted）或被法院命令密封（Sealed）的資訊可能已被非法獲取。在法律程序中，密封文件通常包含受保護的證人身分或涉及國家安全、商業機密的內容，一旦外洩將造成不可挽回的損害。
技術爭議：備份環境還是生產平台
在這起事件的調查過程中，Thomson Reuters 與各州法院之間對於「漏洞發生位置」的說法出現明顯分歧，這揭示了雲端環境管理中的混亂。
蒙大拿州最高法院指出，被盜取的是儲存在 Thomson Reuters 伺服器上的備份數據。這些數據是法院為了讓供應商進行故障排除（Troubleshooting）而提供的資料庫副本。阿拉巴馬州法院則發現，供應商在未經告知且未經請求的情況下，擅自在其雲端環境中保留了法院數據的備份文件。這顯示出供應商在處理客戶敏感數據時，缺乏透明的生命週期管理。
然而，俄亥俄州最高法院的說法則截然不同。該州表示，Thomson Reuters 告知其未經授權的訪問是直接發生在生產平台（Production Platform）上，即法院日常運作的線上系統。生產平台與備份環境的區別在於，前者是即時運作的系統，若被入侵，攻擊者可能擁有更高的權限或能獲取最即時的數據。目前針對具體入侵路徑與受影響環境的矛盾之處，仍待進一步釐清。
供應鏈風險與實務影響
此次事件是典型的供應鏈攻擊（Supply Chain Attack）案例。法院本身並未被直接入侵，而是透過信任的第三方服務供應商 C-Track 成為受害者。對於司法機關而言，將案件管理外包給雲端服務商雖然提升了效率，但也將數據主權移交給了第三方。
從實務影響來看，雖然 Thomson Reuters 表示 C-Track 的運作未受干擾且目前尚無證據顯示數據被用於詐騙，但風險依然巨大。對於個資外洩，公司提供了為期一年的信用監控服務以降低身分盜用風險。然而，對於被外洩的密封法律文件，信用監控完全無法彌補其造成的法律與人權損害。
此外，此次事件暴露了供應商在數據留存政策上的漏洞。當法院為了除錯而提供資料庫副本時，供應商未能及時銷毀或採取足夠的加密隔離措施，導致這些「影子數據」成為攻擊者的目標。
限制與後續挑戰
儘管各州已發布公告，但目前仍有許多未知數。首先，直到 2026 年 9 月初，仍沒有任何官方數據揭露具體受影響的人數、攻擊者的身分，以及攻擊者獲取文件的具體技術手段。其次，部分法院如明尼蘇達州在發現漏洞後立即終止了供應商的訪問權限並要求用戶更改密碼，顯示出司法機關對供應商安全能力的信任崩潰。
這次事件提醒所有依賴第三方雲端平台的組織，不能僅依賴供應商的承諾，而應建立更嚴格的數據審計機制，包括要求供應商定期提交數據銷毀證明，以及在提供除錯數據時使用去識別化（De-identification）技術，而非直接提供包含個資的完整資料庫副本。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。