Muhasebe ve danışmanlık firması Baker Tilly, yetkisiz bir tarafın üçüncü taraf hizmet sağlayıcısından kişisel bilgiler elde etmesinin ardından müşterilerini bilgilendirmeye başladı. Olay, müşterilere ve bağımlılarına ait Sosyal Güvenlik numaraları ve diğer kimlik bilgileri dahil olmak üzere kayıtları etkiledi.
Baker Tilly, şüpheli ihlali 6 Eylül 2026’da öğrendi. Soruşturma, bir saldırganın firmanın müşterilerine hizmet sunmak için kullanılan harici bir platformda saklanan verilere eriştiğini tespit etti. Düzenleyici kayıtlara göre, yetkisiz faaliyet 2 Eylül’de gerçekleşti.
Şirket, dış siber güvenlik uzmanlarının yardımıyla bir soruşturma başlattı. Etkilenen bilgileri inceledikten sonra, Baker Tilly incelemesini 28 Ekim’de tamamladı ve kayıtları ele geçirilen kişileri tespit etmeye başladı.
Ülke genelinde etkilenen kişi sayısı henüz açıklanmamaktadır. Ancak, Teksas Başsavcılığı’na yapılan bir dosya, yalnızca o eyalette 10.456 etkilenen sakini tespit ediyor. Ayrı bildirimler, diğer eyaletlerdeki bireylerin de etkilendiğini gösteriyor.
Teksas dosyası, tehlikeye giren kayıtlar arasında isimler, konut adresleri, sosyal güvenlik numaraları ve ek kişisel bilgileri belirtiyor. Maruz kalan bilgilerin belirli kategorileri bireyler arasında değişiklik gösterebilir.
Bazı bildirimler ebeveynlere veya vasilere yönelmişti ve olayın reşit olmayanlara ait bilgileri de içerdiğini doğruladı. Şirket, etkilenen yetişkinler ve çocukların tam bir açıklamasını kamuoyuna sunmadı.
Baker Tilly, tehlikedeki bilgileri barındıran hizmet sağlayıcıyı henüz tanımlamadı. Ayrıca saldırganın platforma nasıl girdiğini, erişimin ne kadar sürdürüldüğünü veya belirli bir yazılım açığının müdahaleye katkıda bulunup bulunmadığını da açıklamadı.
Firma, soruşturmasının kendi ağı veya sistemlerine yetkisiz erişimin devam ettiğine dair hiçbir kanıt bulamadığını vurguladı. Mevcut bulgular, bu maruziyetin Baker Tilly’nin iç altyapısının onaylanmış bir tehlikesi değil, dış hizmet sağlayıcısından kaynaklandığını gösteriyor.
Olayı keşfettikten sonra şirket, çevreleme önlemleri aldı, dış araştırmacılarla iletişime geçti ve kolluk kuvvetlerini bilgilendirdi. 9 Kasım’dan etkilenen kişilere bildirim mektupları göndermeye başladı.
Baker Tilly, ortaya çıkan bilgilerle doğrudan bağlantılı kimlik hırsızlığı veya finansal dolandırıcılık raporu almadığını belirtti. Ancak, bildirilen kötüye kullanım raporlarının olmaması, çalınan kayıtların yok edildiğini veya saldırganın artık erişemediğini kanıtlamamaktadır.
Olası kimlik hırsızlığı risklerini gidermek için firma, etkilenen bireylere Experian IdentityWorks aracılığıyla 24 aylık ücretsiz kredi ve kimlik izleme hizmeti sunmaktadır. Yardım, etkilenen reşit olmayanlara da uygun kayıt süreci aracılığıyla sunulmaktadır.
Şirket, olay ve izleme hizmetleri hakkında bilgi arayan bireyler için özel bir telefon destek hattı kurdu.
Hiçbir fidye yazılımı kuruluşu ihlalından sorumluluğu kamuoyuna açıklamadı ve saldırganın kimliği bilinmiyor. Baker Tilly, tehlikeye giren hizmet sağlayıcısının etkilenmiş olabilecek diğer kuruluşlara hizmet edip etmediğini açıklamadı.