Thomson Reuters meldt inbraak in rechtbanksoftware C-Track bijna een half jaar later

Thomson Reuters maakt bekend dat een onbevoegde partij in maart bestanden uit rechtbankplatform C-Track buitmaakte, een inbraak die het bedrijf op 30 juni ontdekte en pas op 2 september publiek meldde.

Tussen de inbraak en de openbare melding zit bijna een half jaar, tussen de ontdekking en de melding ruim twee maanden. Dat gat is precies waar een Nederlandse afnemer van software niets aan kan doen en wel verantwoordelijk voor blijft. Je meldplicht van 72 uur onder de AVG begint bij jouw kennisname, en je kunt niets weten voordat je leverancier belt. Wat dan telt is niet zijn crisiscommunicatie, maar de zin in je verwerkersovereenkomst die vastlegt binnen hoeveel uur hij dat moet doen.

Elf staten, de Maagdeneilanden en drie Canadese rechtbanken

C-Track is de zaakbeheersoftware waarmee rechtbanken hun digitale dossiers bijhouden. West Publishing, een onderdeel van Thomson Reuters, verkoopt het aan rechtbanken. Het incident raakte rechtbanken in elf Amerikaanse staten en de Amerikaanse Maagdeneilanden, plus de drie Ontarese rechtbanken die C-Track gebruiken voor hun dossierbeheer, meldt Reuters op basis van de kennisgeving van West Publishing en een verklaring van de Ontarese opperrechters. Het gaat om Alabama, Pennsylvania, Kentucky, Montana, Nevada, North Dakota, South Carolina, Tennessee, Ohio, New Hampshire en Wyoming.

In de buitgemaakte bestanden konden namen staan in combinatie met social-securitynummers, rijbewijsnummers, geboortedatums, medische gegevens en zorgverzekeringsgegevens, en bij sommige rechtbanken ook vertrouwelijke, weggelakte of verzegelde stukken. Getroffen personen krijgen twaalf maanden kredietbewaking, in de Verenigde Staten via Experian IdentityWorks met inschrijving tot 31 december 2026 en in Canada via TransUnion. Hoeveel mensen het raakt, is niet bekendgemaakt. Wie erachter zit evenmin.

Vier maanden onopgemerkt, twee maanden stil

Thomson Reuters benadrukt dat het incident zich afspeelde in zijn eigen cloudomgeving en niet in de netwerken van de rechtbanken. Voor de rechtbanken maakt dat weinig verschil: hun dossiers lagen er wel. De tijdlijn loopt van de toegang in maart, via de ontdekking op 30 juni, naar 23 juli, toen functionarissen in Montana en Ontario bericht kregen, tot de publieke kennisgeving van 2 september. De lijst met getroffen jurisdicties groeit sindsdien door, omdat afzonderlijke rechtbanken hun eigen verklaring publiceren.

Zo'n verloop is geen uitzondering. Het is het normale ritme van een incident bij een leverancier: forensisch onderzoek eerst, dan de klanten, dan pas het publiek. Alleen loopt jouw wettelijke klok niet op dat ritme.

Wat je hierover in je eigen contract vastlegt

Drie afspraken bepalen of je bij zo'n incident op tijd bent, en ze staan alle drie in de verwerkersovereenkomst.

• Een meldtermijn in uren, niet in "onverwijld". Reken hem terug vanaf je eigen verplichting: wie onder de Cyberbeveiligingswet binnen 24 uur moet melden, heeft aan een leverancierstermijn van 24 uur niets. En laat de termijn ingaan bij kennisname door de leverancier, niet bij zijn interne classificatie.
• Namen van subverwerkers, met een plicht om wijzigingen te melden. C-Track staat op naam van Thomson Reuters, wordt verkocht door West Publishing en draaide in een cloudomgeving van het moederbedrijf. Als je alleen de merknaam op je contract hebt staan, weet je niet welke partij je gegevens feitelijk vasthoudt.
• Een plicht om bij te werken als de omvang verandert. De eerste opgave van een leverancier is een tussenstand. Toen een Amerikaanse leverancier van patiëntendossiers zijn maartlek bijstelde van ongeveer 350.000 naar 3.756.469 getroffenen, bleef de meldplicht bij zijn klanten liggen.

Waar dit incident echt over gaat

Dat een grote leverancier gehackt kan worden, is geen nieuws. Wat deze zaak zichtbaar maakt, is dat de afnemer in de tussentijd geen enkel signaal heeft. De inbraak zat achter een merknaam, in de infrastructuur van een dochteronderneming, buiten elk logbestand waar een klant bij kan. Geen enkele controle aan de kant van de rechtbanken had die vier maanden korter gemaakt.

Wat wel aan die kant ligt, is de afspraak over wat er gebeurt zodra de leverancier het zelf weet. Die afspraak maak je één keer, op het moment dat je tekent en er nog iets te ruilen valt. Daarna is het wachten op een telefoontje waarvan je hoopt dat het nooit komt.