A empresa de contabilidade e consultoria Baker Tilly começou a notificar clientes após uma parte não autorizada obter informações pessoais de um prestador de serviços terceirizado. O incidente afetou registros pertencentes a clientes e seus dependentes, incluindo números de Previdência Social e outras informações identificativas.
Baker Tilly tomou conhecimento da suspeita de violação em 6 de setembro de 2026. Sua investigação determinou que um atacante havia acessado dados armazenados em uma plataforma externa usada para prestar serviços aos clientes da empresa. De acordo com registros regulatórios, a atividade não autorizada ocorreu em 2 de setembro.
A empresa iniciou uma investigação com a ajuda de especialistas externos em cibersegurança. Após examinar as informações afetadas, a Baker Tilly concluiu a revisão em 28 de outubro e começou a identificar as pessoas cujos registros haviam sido comprometidos.
O número exato de pessoas afetadas em todo o país permanece não divulgado. No entanto, um documento no Escritório do Procurador-Geral do Texas identifica 10.456 residentes afetados somente nesse estado. Notificações separadas indicam que indivíduos em outros estados também foram impactados.
O registro do Texas identifica nomes, endereços residenciais, números de Previdência Social e informações pessoais adicionais entre os registros comprometidos. As categorias específicas de informações expostas podem variar entre indivíduos.
Algumas notificações foram endereçadas a pais ou responsáveis, confirmando que o incidente também envolveu informações pertencentes a menores. A empresa não forneceu publicamente uma análise completa dos adultos e crianças afetados.
Baker Tilly não identificou o provedor de serviço responsável por hospedar as informações comprometidas. Também não divulgou como o atacante entrou na plataforma, por quanto tempo o acesso foi mantido ou se uma vulnerabilidade de software específica contribuiu para a invasão.
A empresa enfatizou que sua investigação não encontrou evidências de acesso não autorizado contínuo à sua própria rede ou sistemas. As descobertas disponíveis indicam que a exposição se originou do provedor externo de serviços, e não de um comprometimento confirmado da infraestrutura interna da Baker Tilly.
Após a descoberta do incidente, a empresa tomou medidas de contenção, contratou investigadores externos e notificou as autoridades policiais. Começou a enviar cartas de notificação aos indivíduos afetados em 9 de novembro.
Baker Tilly afirmou não ter recebido nenhum relato de roubo de identidade ou fraude financeira diretamente associada às informações expostas. No entanto, a ausência de uso indevido relatado não comprova que os registros roubados tenham sido destruídos ou não estejam mais acessíveis ao agressor.
Para enfrentar riscos potenciais de roubo de identidade, a empresa está oferecendo aos indivíduos afetados 24 meses de monitoramento gratuito de crédito e identidade por meio da Experian IdentityWorks. A assistência também está disponível para menores afetados por meio do processo de inscrição adequado.
A empresa estabeleceu uma linha telefônica dedicada para pessoas que buscam informações sobre o incidente e os serviços de monitoramento.
Nenhuma organização de ransomware estabeleceu publicamente a responsabilidade pela violação, e a identidade do atacante permanece desconhecida. Baker Tilly não divulgou se o provedor de serviço comprometido atende outras organizações que possam ter sido afetadas.