Ce qui s’est réellement passé chez C-Track
Selon la divulgation interne de Thomson Reuters, l’intrusion a commencé en mars 2026 et s’est poursuivie sans être détectée jusqu’au 30 juin 2026, lorsque l’équipe sécurité de l’entreprise a finalement repéré une activité non autorisée dans l’environnement cloud hébergeant C-Track. Pendant cette période d’environ quatre mois, l’attaquant avait accès à des fichiers liés aux systèmes des cours d’appel dans douze États américains, les Îles Vierges des États‑Unis, et trois tribunaux en Ontario, Canada.
Les juridictions américaines concernées incluent l’Alabama, le Kentucky, le Montana, le Nevada, le New Hampshire, le Dakota du Nord, l’Ohio, l’Oregon, la Pennsylvanie, la Caroline du Sud, le Tennessee et le Wyoming. En Ohio seulement, dix des douze tribunaux d’appel du district ont été touchés. La société insiste sur le fait que l’incident s’est produit à l’intérieur de sa propre infrastructure cloud, et non sur le réseau d’un tribunal. C‑Track est resté pleinement opérationnel tout au long du processus, et la plateforme est toujours en usage actif aujourd’hui.
Ce qui se trouvait dans les dossiers exposés
C’est ici que l’histoire cesse d’être abstraite. Les fichiers potentiellement accessibles par l’attaquant contiennent, selon l’avis de Thomson Reuters, des noms, des numéros de sécurité sociale, des numéros de permis de conduire, des dates de naissance, des informations médicales et des informations sur l’assurance maladie. Les dépôts judiciaires contiennent souvent exactement cette combinaison, car les documents relatifs à une affaire incluent systématiquement des identifiants personnels des parties, des témoins, et parfois des mineurs.
Certaines juridictions ont signalé une préoccupation encore plus sensible. La Cour suprême du Minnesota a averti que des documents scellés ou expurgés pourraient avoir été affectés, ce qui signifie que du matériel que un juge avait ordonné de garder privé aurait pu être extrait avec le reste. Un dossier scellé n’est pas seulement une donnée embarrassante. Il peut s’agir d’un ordre de protection, d’une affaire concernant un mineur, d’un document médical expurgé, ou de l’identité d’un témoin que la cour avait décidé de ne jamais rendre publique. Dans cet incident, aucune de ces protections n’a voyagé avec les dossiers.
Pourquoi vous n’en entendez parler que maintenant
Le décalage entre le moment où cette violation a eu lieu et celui où le public en a été informé est l’un des aspects les plus marquants de l’affaire. Le chronogramme est le suivant : les attaquants étaient présents de mars à fin juin; Thomson Reuters a détecté l’activité le 30 juin; des tribunaux individuels ont été avisés entre le 23 et le 27 juillet; et la divulgation publique a eu lieu le 2 septembre. Cela signifie que cinq mois se sont écoulés entre l’intrusion initiale et le jour où les personnes concernées ont pu commencer à réagir.
Thomson Reuters a dit que ce retard a permis une annonce coordonnée dans plusieurs juridictions, évitant une annonce fragmentée qui aurait été plus difficile à comprendre pour le public. C’est une stratégie de communication valable, mais cela signifie aussi que pendant deux mois après la détection, les personnes dont les données avaient été exposées n’avaient aucun moyen de savoir qu’elles devaient geler leur crédit ou surveiller une activité suspecte. Certaines des questions les plus fondamentales concernant l’incident — notamment qui était responsable, comment l’attaquant est parvenu à accéder au système et combien de personnes ont réellement été affectées — n’ont toujours pas de réponse publique.
Ce qu’il faut faire maintenant si vous pensez être touché
Thomson Reuters propose 12 mois de surveillance gratuite du crédit aux personnes potentiellement concernées : Experian IdentityWorks aux États‑Unis et dans les Îles Vierges américaines, et TransUnion myTrueIdentity au Canada. L’inscription est ouverte jusqu’au 31 décembre 2026, en utilisant le code multi-usage et le numéro d’engagement imprimés dans les lettres de notification personnelles envoyées par Thomson Reuters. Une ligne directe américaine est disponible au 1-833-918-5294 (numéro d’engagement B171847).
Outre l’inscription à cette surveillance gratuite, les conseils habituels restent valables. Geler votre crédit plutôt que de simplement le surveiller, car un gel empêche l’ouverture d’un nouveau compte alors que la surveillance ne vous avertit qu’après coup. Surveillez attentivement les courriels et les messages de phishing faisant référence à la violation, car les criminels qui consultent les mêmes actualités que vous commenceront à préparer des pages factices de « notification du tribunal » ou de « inscription à la surveillance du crédit » dans les jours qui viennent. Et prévoyez ce qui se passera après le 31 décembre 2026, lorsque la période de surveillance gratuite prendra fin. Les données qui ont été divulguées une fois continuent souvent de circuler pendant des années.
Où NordVPN s’inscrit dans le tableau
Soyons directs sur ce que peut et ne peut pas faire un VPN dans ce contexte. NordVPN n’aurait pas empêché la violation de C‑Track. L’intrusion s’est produite à l’intérieur de l’infrastructure cloud propre à Thomson Reuters, et vos données se trouvaient dans ces fichiers bien avant que vous n’ayez le moindre choix à ce sujet. Ce que fait NordVPN, et ce qui le rend pertinent après une violation comme celle-ci, se situe à l’autre bout de la chronologie : surveiller ce qui arrive à vos données une fois qu’elles quittent les serveurs du fournisseur.
La fonctionnalité Dark Web Monitor, incluse dans les plans Advanced et Ultra de NordVPN, scrute en continu les bases de données divulguées et les forums de cybercriminels à la recherche de vos informations personnelles. Si votre adresse e‑mail, vos identifiants ou vos éléments d’identification apparaissent dans une nouvelle fuite, vous recevez une alerte détaillant le service impliqué. C’est exactement le genre de couverture continue dont vous aurez besoin une fois que la période de 12 mois de surveillance gratuite du crédit de Thomson Reuters sera terminée. Threat Protection Pro, inclus dans les mêmes niveaux, bloque les sites de phishing au niveau du réseau, ce qui réduit les pages frauduleuses « inscription à la surveillance du crédit » et « notification du tribunal » qui apparaîtront inévitablement dans les semaines à venir.
Le forfait Basic à 3,49 $/mois
Le plan Basic est actuellement disponible à 3,49 $/mois, ce qui équivaut à 94,23 $ payés en une seule fois pour 27 mois de service (24 mois + 3 mois offerts). Il s’agit d’une réduction de 69 % par rapport au tarif standard. Le renouvellement annuel reste à 139,08 $/an, résiliable à tout moment depuis le tableau de bord du compte.
Le plan Basic couvre le VPN de base pour jusqu’à 10 appareils avec des applications pour Windows, macOS, Linux, iOS, Android, des extensions de navigateur et une installation sur routeur. Dark Web Monitor et Threat Protection Pro, les deux fonctionnalités les plus directement pertinentes après une violation comme celle-ci, se situent dans les niveaux Advanced et Ultra.
30 jours pour tout tester, sans engagement
NordVPN accompagne chaque plan d’une garantie de remboursement de 30 jours. Si le service ne correspond pas à votre façon d’utiliser vos appareils, vous pouvez demander un remboursement intégral au cours du premier mois. Les remboursements sont traités via l’assistance par chat 24/7, et les fonds reviennent généralement sous 5 à 10 jours ouvrables selon le mode de paiement utilisé.
Cela vous offre un mois complet pour installer les applications sur votre configuration, tester les vitesses de votre connexion à domicile, activer le filtre anti-phishing et le Dark Web Monitor sur le trafic reçu dans votre boîte mail à la suite de cette violation, et voir si le service convient à votre flux de travail. Petite précision sur l’abonnement : le tarif de 3,49 $/mois s’applique aux premiers 27 mois. Le renouvellement automatique s’effectue ensuite au tarif annuel standard. Si vous préférez annuler ou renégocier avant le renouvellement, programmez un rappel dans votre calendrier 7 à 10 jours avant la date de renouvellement.
