Baker Tilly: violazione dati presso un fornitore

Cosa è successo

Baker Tilly Advisory Group sta notificando ai clienti, con lettere datate 9 novembre 2026, una violazione che ha esposto informazioni personali (secondo BleepingComputer, anche delle persone a loro carico). I dati si trovavano su una piattaforma gestita da un fornitore terzo che lo studio usa per servire i clienti; il fornitore non è nominato.

Nella lettera, che abbiamo letto nella copia depositata presso il Procuratore generale della California, Baker Tilly dice di aver saputo di un «potenziale incidente di sicurezza informatica» il 6 settembre 2026 e di aver concluso l'esame dei dati coinvolti il 28 ottobre 2026, quando ha individuato di chi fossero. Nella notifica, un soggetto non autorizzato «ha potuto ottenere» dati di alcuni clienti. L'elenco californiano indica come data della violazione il 2 settembre 2026: quattro giorni prima di quando lo studio dice di averla scoperta.

Quali dati e quante persone

Il numero più solido riguarda il Texas: 10.456 persone, secondo il portale del Procuratore generale di quello Stato (lo riportano BleepingComputer e The420.in; il portale non l'abbiamo consultato direttamente). Un sito di aggiornamento sulle violazioni cita 1.359 persone nel South Carolina. Lo studio legale Strauss Borrelli parla di 195.512 persone in totale, ma lo ricava da dati di deposito presso le autorità statali non meglio specificati e non l'abbiamo potuto verificare: il totale ufficiale non è noto.

Sempre secondo il portale texano, i dati comprendono nomi, indirizzi e numeri di previdenza sociale (l'identificativo fiscale-previdenziale statunitense), più «altre informazioni». Nella lettera campione l'elenco dei dati è un segnaposto: dice solo che sono stati coinvolti «i seguenti tipi» di informazioni personali, senza specificarli.

Cosa non si sa ancora

Il totale. Il numero complessivo di persone coinvolte non è stato comunicato dallo studio; le cifre circolanti (10.456 in Texas, 1.359 in South Carolina, 195.512 secondo uno studio legale) non sono riconciliate tra loro.

I dettagli. Mancano il nome del fornitore, come siano entrati gli aggressori, per quanto tempo abbiano avuto accesso e quali dati siano stati presi esattamente.

L'autore. BleepingComputer non ha trovato rivendicazioni di gruppi ransomware. Baker Tilly non aveva risposto alle sue domande al momento della pubblicazione.

Cosa fare se hai ricevuto la lettera

Nella lettera lo studio dice di aver contenuto l'incidente, di aver coinvolto esperti esterni e le forze dell'ordine, di non avere prove di un proseguimento dell'accesso non autorizzato alla propria rete e di non essere a conoscenza di furti d'identità o frodi collegati. Offre 24 mesi di monitoraggio di crediti e identità tramite Experian IdentityWorks, senza carta di credito; l'iscrizione ha una scadenza indicata nella lettera. I passi sotto sono consigli nostri, in aggiunta.

1. Leggi la lettera e, se sei idoneo, attiva il monitoraggio offerto da Baker Tilly entro i termini indicati.
2. Diffida di email, SMS o telefonate che citano la violazione: contatta lo studio con i recapiti che già avevi, non con quelli del messaggio.
3. Tieni d'occhio estratti conto e comunicazioni fiscali, e segnala movimenti che non riconosci.