Del 1 de marzo al 29 de junio de 2026, alguien sin autorización estuvo entrando en un espacio de almacenamiento de Thomson Reuters. Allí se guardaban datos de C-Track, el sistema de gestión procesal y de presentación electrónica de escritos que West Publishing, filial de la compañía, presta a tribunales de apelación de once estados de EE. UU. y de las Islas Vírgenes de EE. UU. según el aviso del proveedor, a los que se suman Oregón y Minnesota, que lo comunicaron por su cuenta, y tres tribunales de Ontario.
En el caso de Montana, según el comunicado de su Tribunal Supremo, esos datos no eran el entorno de producción, sino copias de las bases de datos «suministradas a TR [Thomson Reuters] con el fin de depurar las aplicaciones».
Thomson Reuters detectó la actividad el 30 de junio y publicó su aviso general el 2 de septiembre, en coordinación con los tribunales afectados. De acuerdo con ese aviso, los ficheros pueden incluir nombres, números de la Seguridad Social, números de permiso de conducir, datos médicos y de seguros y, en algunos tribunales, información confidencial, con partes suprimidas o bajo secreto. Cómo entró el atacante, quién fue y cuánto se llevó sigue sin respuesta, como subrayan The Record y Help Net Security.
Cuando en Hard2bit revisamos proveedores, encontramos una y otra vez los datos peor controlados fuera de producción, en las copias que se entregaron a un proveedor para diagnosticar un fallo o en las que el proveedor guardó por su cuenta. El caso C-Track reúne las dos situaciones.
¿Por qué las copias de soporte son los datos menos controlados de la organización?
En producción hay un dueño, control de acceso, registro de actividad, cifrado y un plan de copias con plazos de retención. El volcado que un proveedor pide para reproducir un error se desprende de todas esas garantías en cuanto sale. Viaja por el canal que resulte más cómodo y acaba en un almacenamiento del proveedor que el cliente no ve. Allí se queda hasta que alguien se acuerda de borrarlo.
Ese fichero es, además, más peligroso que la base de la que procede. Contiene los datos íntegros, sin los filtros que la aplicación impone en pantalla, y en un sistema judicial eso abarca justo lo que la aplicación esconde a casi todos los usuarios, como los datos de causas selladas: partes, cargos y anotaciones del registro. Thomson Reuters reconoce que esa información puede haberse visto afectada en algunos tribunales.
Ninguno de los tribunales hizo nada raro. Entregar datos a soporte para que reproduzca un fallo es una práctica normal con casi cualquier proveedor de software. Lo preocupante es que una práctica tan extendida no tenga, en la mayoría de los contratos que hemos revisado, ninguna cláusula que la regule.
¿Qué exige la normativa europea cuando un proveedor guarda copias de tus datos?
Aunque el incidente sea norteamericano, cada pieza tiene su equivalente en el derecho europeo y en el español, y en ambos ordenamientos la responsabilidad sigue siendo del cliente.
RGPD: el encargado actúa por instrucciones y borra al terminar
El artículo 28 del RGPD marca el contenido mínimo del contrato con el encargado del tratamiento. El encargado trata los datos únicamente conforme a instrucciones documentadas, los suprime o los devuelve cuando termina el servicio y facilita al responsable la información necesaria para demostrar el cumplimiento, auditorías incluidas. Una copia de diagnóstico que sigue viva meses después de cerrada la incidencia es, salvo que el contrato lo prevea expresamente, un tratamiento sin instrucción que lo ampare y sin fecha de fin.
El artículo 33.2 obliga al encargado a comunicar la brecha al responsable «sin dilación indebida». A partir de que el responsable tiene constancia, dispone de 72 horas para notificar a la autoridad de control; ese plazo no empieza a correr mientras el encargado calla. El RGPD no rige este caso, pero si lo hiciera, los 23 días transcurridos entre la detección y el aviso a Montana y Ontario encajarían mal con lo que el artículo pide al encargado.
ENS: obliga al proveedor y regula las copias
Por su artículo 2.3, el Real Decreto 311/2022 alcanza a los sistemas de las empresas privadas que prestan servicios al sector público y exige que los pliegos recojan los requisitos necesarios para esa conformidad. La medida mp.info.6 pide que el procedimiento de copias de seguridad detalle los requisitos de almacenamiento en otros lugares y los controles de acceso autorizado a esas copias; regula las copias de respaldo, pero no hay motivo para exigir menos a cualquier otra copia que salga de producción.
Las medidas op.ext.1 y op.ext.3 obligan a firmar un acuerdo de nivel de servicio con responsabilidades y consecuencias y, en categoría ALTA, a analizar el impacto de un incidente que nazca en la cadena de suministro. La medida op.nub.1 añade que los servicios en la nube contratados por organismos públicos deben ser conformes con el ENS o con la guía CCN-STIC que corresponda, jurisdicción de los datos incluida. Quién está obligado por el ENS lo explicamos en otro artículo.
NIS2 y DORA: la cadena de suministro es obligación de la dirección
Entre las medidas mínimas del artículo 21.2 de la Directiva NIS2 figuran la seguridad de la cadena de suministro y la relación con los proveedores directos, y el artículo 20 hace responsables a los órganos de dirección de aprobar y vigilar esas medidas.
En el ámbito judicial hay una salvedad, porque la definición de entidad de administración pública del artículo 6.35 deja fuera expresamente al poder judicial, a los parlamentos y a los bancos centrales. Para un tribunal español el marco aplicable no es NIS2, sino el ENS y el Esquema Judicial de Interoperabilidad y Seguridad, regulado hoy en el Real Decreto-ley 6/2023. El proveedor es otra cosa: un gestor de servicios TIC como el de este caso puede ser entidad NIS2 por sí mismo, dentro del sector de gestión de servicios TIC del anexo I, aunque su cliente judicial no lo sea.
Para las entidades financieras, el artículo 30 de DORA exige que el contrato fije dónde se prestan los servicios y dónde se procesan y almacenan los datos, y qué asistencia debe prestar el proveedor cuando ocurre un incidente.
La objeción: soporte necesita datos reales y el contrato ya reparte la responsabilidad
Cada vez que alguien propone restringir las copias de soporte aparecen dos argumentos. El argumento técnico sostiene que hay fallos que solo se manifiestan con datos reales, con su volumen, sus casos límite y las incoherencias que se acumulan durante años; un conjunto de datos sintéticos no los provoca, y bloquear el envío alarga incidencias que afectan a usuarios.
El argumento contractual recuerda que el proveedor es el encargado del tratamiento, que ha firmado un anexo de protección de datos y que, si pierde las copias, la responsabilidad recae en él, que para eso está el contrato.
El argumento contractual no aguanta la lectura del caso. El técnico merece una respuesta técnica, y la parte práctica la da: casi siempre hay una manera de reproducir el fallo sin entregar la base completa.
Qué muestra el caso C-Track
Sin culpa y con las consecuencias
Tanto Thomson Reuters como el Tribunal Supremo de Montana sostienen que el incidente se produjo en el entorno de la compañía y no por fallos de los tribunales. Es cierto. Las consecuencias, aun así, las cargan los tribunales.
Montana recibió una copia de los datos a los que se accedió y desde finales de julio la revisa en busca de información personal. Los jueces presidentes de tres tribunales de Ontario publicaron una declaración conjunta en la que admiten que todavía no saben qué datos ni cuántas personas están afectadas. El Departamento Judicial de Oregón anunció su propia revisión y, según recoge Help Net Security, reclama respuestas al proveedor. Más de una docena de jurisdicciones están dando explicaciones a sus ciudadanos por un incidente que ocurrió fuera de sus sistemas.
No todos cuentan lo mismo, y eso también importa. Los tribunales de apelación de Alabama dicen que el proveedor les comunicó después que guardaba una copia de sus datos en un fichero de respaldo de su nube, una copia que ni habían pedido ni sabían que existía. El Tribunal Supremo de Ohio afirma que el proveedor le informó el 31 de agosto de que el acceso no autorizado se produjo en la plataforma de producción del tribunal, que aloja el propio tribunal y gestiona el proveedor.
Copias que el cliente desconocía y producción administrada por el proveedor son dos caras del mismo problema: datos que el cliente no ve.
En Europa el desequilibrio no es menor, porque quien notifica a la autoridad y a los interesados sigue siendo el responsable del tratamiento. La cláusula de responsabilidad sirve para reclamar después; la notificación hay que hacerla igual.
121 días sin que nadie lo viera, 144 hasta que el cliente lo supo
La cronología del comunicado de Montana sitúa el acceso no autorizado entre el 1 de marzo y el 29 de junio, es decir, 121 días. Desde la detección, el 30 de junio, hasta el 23 de julio, cuando Thomson Reuters avisó a Montana y al Ministerio del Procurador General de Ontario (Ministry of the Attorney General), pasaron otros 23. El cliente supo que tenía un problema 144 días después de que empezara. Del aviso a los tribunales a la publicación pasaron otros 41; Montana explica que se acordó un anuncio simultáneo y que el acceso ya había cesado. Con el RGPD, ese plazo tampoco cabría.
El aviso de la compañía lo cuenta de otro modo: el intruso «obtuvo» los ficheros en marzo. Ambas versiones caben a la vez, y la segunda es la que más debería inquietar a un comité de dirección, porque significa que la ventana de exposición no son 121 días de acceso, sino cuatro meses con los ficheros ya fuera.
El cliente no puede acortar ese plazo porque no ve lo que pasa en el almacenamiento del proveedor; puede exigir por contrato que el proveedor lo vigile y lo demuestre.
Lo que Montana encontró en sus ficheros
Montana precisa que la mayor parte de lo consultado por el atacante era información pública y que los documentos judiciales no formaban parte del incidente. Con todo, su equipo técnico halló números de permiso de conducir y fechas de nacimiento en los ficheros, como recogen KPAX y el Daily Montanan. El alcance cambia de una jurisdicción a otra, y Nevada pidió no extrapolar lo expuesto en un estado a los demás, según The Record.
Sin causa conocida no hay aprendizaje
Ni el aviso ni las declaraciones de los tribunales dicen cómo entró el atacante. Coincide con lo que medimos hace unas semanas, cuando vimos que solo uno de cada cuatro avisos de brecha explica la causa. Sin ese dato, el cliente no puede saber si otro de sus proveedores tiene el mismo agujero ni afinar sus controles. Para el sector en su conjunto, Infosecurity Magazine recuerda que los expedientes judiciales son un objetivo habitual de espionaje y extorsión, y que el sistema federal de gestión de casos de EE. UU. sufrió ataques en 2025 que obligaron a reforzar la protección de sus documentos sensibles.
Cómo tratar las copias que salen hacia proveedores
Nada de esto exige comprar tecnología. Basta con tratar cada copia de datos reales que sale de producción como un activo con dueño y fecha de caducidad, y con dejar escrito dónde obliga, en la política de seguridad interna y en el contrato con el proveedor, que su borrado se acredita.
Inventario: saber qué copias existen y dónde
En las revisiones de proveedores que hacemos, pocas organizaciones saben cuántos volcados de sus bases de datos guardan sus proveedores. Hay que empezar por un registro de cada extracción de datos de producción hacia el exterior que recoja el sistema de origen, el proveedor, la incidencia que la motivó, quién la autorizó, dónde se almacena y cuándo se borra. Una gestión del riesgo de terceros reducida a un cuestionario anual no verá estas copias; hay que preguntar por ellas expresamente.
Contrato: ubicación, borrado con evidencia y plazos en horas
El contrato con el proveedor debe fijar, como mínimo, lo siguiente.
- Dónde y bajo qué régimen se almacena cualquier copia de diagnóstico, con las mismas medidas que producción y en línea con mp.info.6 del ENS y, cuando corresponda, con el artículo 30 de DORA.
- Borrado obligatorio al cerrar la incidencia, dentro de un plazo máximo y con un certificado o registro de destrucción a disposición del cliente.
- Aviso en cuestión de horas de cualquier incidente que afecte a esas copias, con el detalle mínimo que el cliente necesita para cumplir su plazo de 72 horas ante la autoridad.
- Derecho de auditoría sobre el almacenamiento de soporte y, si el proveedor sirve al sector público, certificación ENS con un alcance que cubra ese almacenamiento y no únicamente el servicio principal.
Técnica: reducir lo que sale y proteger lo que sale
Antes de enviar un volcado completo hay que agotar las alternativas, que son la respuesta al argumento técnico. Valen un subconjunto acotado al caso que falla, un enmascaramiento de los campos sensibles o un entorno de reproducción al que el proveedor accede con acceso temporal y auditado, sin recibir ningún fichero.
Si el envío resulta inevitable, el fichero viaja cifrado con claves que controla el cliente, por un enlace con caducidad, y en el destino solo lo abren usuarios identificados, con control de acceso y un registro exportable de quién abrió qué. Sin ese registro, un acceso indebido puede pasar meses sin que nadie lo vea, que es lo que aquí ocurrió durante 121 días, y el cliente solo se entera cuando el proveedor se lo dice.
Operación: la copia caduca con la incidencia
Lo más barato es cambiar el procedimiento. Ninguna incidencia para la que se haya enviado un volcado se cierra hasta que el borrado esté confirmado; basta con una casilla en el flujo de cierre y una comprobación trimestral por muestreo. En esas comprobaciones afloran copias de hace años de las que nadie se acordaba.
Quién paga si no se hace, y a quién le toca decidirlo
Para un responsable europeo, un incidente en las copias de soporte de su proveedor implica las mismas obligaciones que un incidente en sus sistemas. Si además el contrato con el encargado no se ajustaba al artículo 28, la sanción no se detiene en el proveedor. Con NIS2, la dirección responde de haber aprobado y supervisado las medidas de cadena de suministro; lo que supone esa responsabilidad para un consejo de administración lo tratamos en su momento.
Un proveedor del sector público con una certificación ENS cuyo alcance no cubre el almacenamiento de soporte tiene una carencia que un auditor puede señalar y que un pliego puede exigir que se corrija.
Ninguna sanción recoge el coste mayor: semanas revisando ficheros a mano y respondiendo a ciudadanos y abogados sin poder explicarles cómo ocurrió.
Al comité le toca fijar una norma interna y hacerla cumplir. La norma cabe en una frase, ninguna copia de datos reales sale de producción hacia un proveedor sin dueño ni fecha de borrado acreditado, y en una cláusula del contrato tipo. Lo que cuesta es aplicarla a los proveedores que ya están dentro, con años de incidencias cerradas y volcados que nadie ha reclamado nunca.
En Hard2bit preferimos abordar ese trabajo atrasado dentro de una revisión de terceros que incluya de forma explícita las copias de soporte y los entornos de prueba, antes de que el aviso de un proveedor lo convierta en urgente. Los tribunales afectados lo están haciendo ahora, con el aviso ya publicado.
Sobre las fuentes y la atribución: este artículo se basa en el aviso público de Thomson Reuters y C-Track, en el comunicado del Tribunal Supremo de Montana, en la declaración conjunta de los tribunales de Ontario, en los comunicados de Ohio y Alabama y en la cobertura de The Hacker News, The Record, Help Net Security, Infosecurity Magazine, KPAX y Daily Montanan, a 4 de septiembre de 2026. Los tribunales se citan porque cada uno ha hecho pública su afectación. La compañía no ha explicado el vector de entrada; ninguna mención implica un fallo de seguridad en C-Track ni en los sistemas de los tribunales, y el alcance puede cambiar.
Este artículo tiene carácter divulgativo y no constituye asesoramiento jurídico. Las referencias al RGPD, al Esquema Nacional de Seguridad, a NIS2 y a DORA resumen los textos vigentes a fecha de publicación y deben contrastarse con el asesoramiento legal de cada organización y con la interpretación de las autoridades competentes.
