Nach Darstellung von Thomson Reuters können bei dem Vorfall Namen, Sozialversicherungsnummern, Führerscheinnummern, medizinische Angaben, Geburtsdaten und Informationen zur Krankenversicherung betroffen gewesen sein. An einigen Gerichten seien zudem vertrauliche, geschwärzte oder versiegelte Informationen betroffen. Hinweise darauf, dass es bereits zu Betrug oder Missbrauch der Daten gekommen sei, gebe es bislang nicht.
Der Zeitrahmen des Zugriffs geht über den ursprünglich genannten März hinaus: Der Supreme Court von Montana teilte in einer eigenen Mitteilung mit, das Unternehmen habe staatliche Stellen darüber informiert, dass der unbefugte Zugriff von März bis Juni erfolgt sei. Die Angreifer wären demnach bis zu ihrer Entdeckung im Aktensystem präsent gewesen.
Der Betrieb von C-Track wurde nach Firmenangaben nicht gestört, die Plattform sei weiterhin voll funktionsfähig. Thomson Reuters erklärte, zusätzliche Sicherheitsmaßnahmen ergriffen zu haben, die von externen Fachleuten geprüft und gebilligt worden seien — wen es damit beauftragt hat, nannte das Unternehmen nicht.
In der US-Benachrichtigung führt Thomson Reuters unter anderem die Berufungsgerichte von Alabama, Kentucky, Montana, Nevada, New Hampshire, North Dakota, South Carolina, Tennessee und Wyoming auf. Genannt werden außerdem mehrere Gerichte in Pennsylvania, zehn Berufungsgerichtsbezirke in Ohio sowie der Supreme Court und der Superior Court der US-Jungferninseln.
Weitere Gerichtssysteme haben sich unabhängig davon gemeldet. Das Oregon Judicial Department erklärte, seine Berufungsgerichte seien ebenfalls betroffen — damit steigt die Zahl der bekannten betroffenen Bundesstaaten auf mindestens zwölf.
Wie viel und was genau abgeflossen ist, unterscheidet sich offenbar je nach Zuständigkeitsbereich. Behörden in Nevada wiesen darauf hin, dass die Art der betroffenen Daten von Jurisdiktion zu Jurisdiktion variiere, und warnten davor, von einem Bundesstaat auf andere zu schließen. In Montana erklärten staatliche Stellen, die meisten betroffenen Informationen seien ohnehin bereits öffentlich zugänglich gewesen; allerdings seien auch einige Führerscheinnummern und Geburtsdaten betroffen.
Einige Gerichtsvertreter erfuhren erst Wochen nach der Entdeckung von dem Vorfall: Dem Gerichtsverwalter von Montana und dem Justizministerium von Ontario teilte das Unternehmen erst am 23. Juli mit, dass auf Gerichtsdaten zugegriffen worden war. In einer gemeinsamen Erklärung der obersten Richterinnen und Richter des Court of Appeal for Ontario, des Superior Court of Justice und des Ontario Court of Justice hieß es, es sei weiterhin unklar, welche Informationen genau kompromittiert wurden und wie viele Personen betroffen sind.