Thomson Reuters Mahkeme Yazılımında Kapsamlı Veri Sızıntısı

Thomson Reuters’ın West Publishing Corporation birimi tarafından sunulan C-Track mahkeme dava yönetim platformunda yaşanan güvenlik ihlali, geniş çaplı bir veri sızıntısına yol açtı. Şirketin açıklamasına göre, Mart 2026’da gerçekleşen bu siber saldırı, ABD’nin 11 eyaleti, ABD Virjin Adaları ve Kanada’nın Ontario eyaletindeki mahkemeleri etkiledi. Thomson Reuters veri sızıntısı, milyonlarca kişinin sosyal güvenlik numaraları (SSN), ehliyet bilgileri ve sağlık kayıtları gibi son derece hassas verilerinin tehlikeye girmesi potansiyelini doğuruyor.

Yargı Sistemlerinin Siber Güvenlik Kırılganlıkları

Yargı sistemleri, doğası gereği vatandaşlara ait çok çeşitli ve son derece hassas bilgileri barındırır. Bu bilgiler, kimlik detaylarından finansal duruma, tıbbi kayıtlardan yasal geçmişe kadar geniş bir spektrumu kapsar. C-Track gibi dava yönetim platformları, bu kritik verilerin düzenli bir şekilde işlenmesi ve saklanması için merkezi bir rol oynar. Thomson Reuters’ın West Publishing biriminin sunduğu bu platform, ABD ve Kanada’daki birçok yargı birimi tarafından aktif olarak kullanılıyor.

Söz konusu güvenlik açığı, Mart 2026’da yetkisiz bir tarafın C-Track platformundan dosyalara erişmesiyle başladı. Şirket, bu anormal aktiviteyi ancak 30 Haziran 2026’da

C-Track İhlalinin Teknik Yapısı ve Ele Geçirilen Bilgiler

Montana Yüksek Mahkemesi’nin açıklamasına göre, siber saldırganların hedef aldığı materyal, Thomson Reuters sunucularında depolanan yedekleme verileriydi. Bu veriler, sorun giderme amaçlı olarak Thomson Reuters’a sağlanan veritabanı kopyalarından alınmıştı. Bu durum, üçüncü taraf hizmet sağlayıcılarına aktarılan verilerin güvenlik protokollerinin ne denli titizlikle uygulanması gerektiğini vurguluyor. Yedekleme sistemleri, genellikle ana sistemler kadar sıkı güvenlik önlemleriyle korunmadığı için, siber suçluların cazip hedeflerinden biri haline gelebiliyor.

Ele geçirilen mahkeme kayıtlarının bir alt kümesinin, bireylerin isimleri, sosyal güvenlik numaraları, ehliyet numaraları, doğum tarihleri, tıbbi bilgileri ve sağlık sigortası bilgilerini içerebileceği belirtildi. Ayrıca, bazı mahkemelere ait belirli gizli, redakte edilmiş veya mühürlü bilgilerin de etkilenmiş olabileceği ifade edildi. Şu ana kadar, ele geçirilen bilgilerin kötüye kullanıldığına veya dolandırıcılık amaçlı kullanıldığına dair herhangi bir kanıt bulunmadığı şirket tarafından açıklandı. Ancak bu tür verilerin elde edilmesi, kimlik hırsızlığı ve diğer siber suçlar için geniş bir potansiyel risk yaratıyor.

Veri Sızıntısının Coğrafi Etkileri ve Hedefteki Yargı Birimleri

Bu geniş çaplı veri sızıntısı, Amerika Birleşik Devletleri ve Kanada’daki birçok yargı birimini doğrudan etkiledi. Thomson Reuters’ın ve Kanada biriminin yayımladığı bildirimlerde, etkilenen mahkeme sistemleri detaylı bir şekilde listeleniyor. ABD’de Alabama, Kentucky, Montana, Nevada, New Hampshire, North Dakota, Ohio, Pennsylvania, South Carolina, Tennessee ve Wyoming eyaletlerindeki çeşitli yüksek ve temyiz mahkemeleri ile federal yargı birimleri bu listenin başında geliyor. Ohio’da Birinci, İkinci, Üçüncü, Dördüncü, Beşinci, Altıncı, Yedinci, Dokuzuncu, On Birinci ve On İkinci Bölge Temyiz Mahkemeleri gibi çok sayıda yerel mahkeme de ihlalden etkilendi.

ABD Virjin Adaları’ndaki Yüksek ve Üst Mahkemeler de saldırının hedefi oldu. Kanada’da ise Ontario Temyiz Mahkemesi, Ontario Yüksek Adalet Divanı ve Ontario Adalet Mahkemesi gibi önemli yargı birimleri etkilendi. Minnesota Yargı Kolu da olaydan etkilendiğini ve temyiz mahkemelerine ait verilerin açığa çıktığını, bu nedenle Thomson Reuters’ın mahkeme elektronik ortamlarına erişimini sonlandırdıklarını ve kullanıcıların şifrelerini değiştirmeleri

Mağdurlar İçin Destek ve Koruma Adımları

Thomson Reuters, veri sızıntısından potansiyel olarak etkilenen bireyler için çeşitli koruma ve destek hizmetleri sunuyor. ABD’deki etkilenen kişilere, Experian IdentityWorks aracılığıyla 12 ay boyunca kredi izleme hizmeti sağlanıyor. Bu hizmete kayıtlar 31 Aralık 2026 tarihine kadar açık olacak ve şirket tarafından yayımlanan bildirimde yer alan çoklu kullanımlı bir kod ile erişilebilecek. Ayrıca, etkilenenler için 1-833-918-5294 numaralı bir yardım hattı devreye alındı ve arama sırasında B171847 numaralı katılım kodu talep ediliyor.

Kanada’da ise Thomson Reuters Canada Limited, TransUnion myTrueIdentity üzerinden 12 ay boyunca benzer bir kimlik izleme hizmeti sunuyor. Kanada’daki çağrı merkezinin 4 Eylül’de faaliyete geçmesi bekleniyor. Bu tür olaylarda, etkilenen bireylerin kişisel verilerini korumak adına proaktif adımlar atması büyük önem taşır. Kimlik hırsızlığı riskine karşı uyanık olmak, banka ve kredi kartı hesaplarını düzenli olarak kontrol etmek, şüpheli e-postalar veya mesajlara karşı dikkatli olmak ve mümkünse çift faktörlü kimlik doğrulamayı etkinleştirmek, alınabilecek başlıca önlemler arasında yer alıyor.

Dijital Adalet Çağında Güvenliğin Yeniden Tanımı

Thomson Reuters’ın C-Track platformundaki bu veri sızıntısı, dijitalleşen adalet sistemleri için kritik bir uyarı niteliği taşıyor. Mahkemeler, yargı süreçlerini kolaylaştırmak ve erişimi artırmak amacıyla teknolojiye daha fazla yatırım yaparken, bu sistemlerin siber güvenlik zafiyetleri yadsınamaz. Vatandaşların en hassas bilgilerinin emanet edildiği bu platformlardaki herhangi bir ihlal, sadece bireysel mağduriyetlere değil, aynı zamanda kamunun adalet mekanizmasına olan inancına da ciddi zararlar verebilir.

Bu olay, üçüncü taraf yazılım ve hizmet sağlayıcılarının güvenlik standartlarının sürekli olarak denetlenmesinin ve güncellenmesinin zorunluluğunu bir kez daha ortaya koyuyor. Tedarik zinciri güvenliği, sadece teknoloji firmaları için değil, aynı zamanda devlet kurumları ve kritik altyapılar için de hayati bir önem taşıyor. Yargı sistemlerinin, siber tehditlere karşı sürekli adapte olan ve çok katmanlı savunma stratejileri geliştiren proaktif bir yaklaşıma sahip olması, dijital adalet çağında güvenliği yeniden tanımlamak adına kaçınılmaz bir gerekliliktir.