Baker Tilly notifica clientes sobre vazamento de dados em provedor terceirizado

O Baker Tilly Advisory Group notifica clientes de que dados pessoais deles e de seus dependentes foram comprometidos. Os dados estavam em uma plataforma operada por um provedor terceirizado que a firma usa para atender clientes. A empresa soube do incidente em 6 de setembro de 2026 e terminou a revisão dos dados afetados em 28 de outubro de 2026, quando identificou quem teve informações envolvidas.

A notificação não informa quantos clientes foram afetados, não nomeia o provedor e deixa os tipos de dados como um campo vazio. O portal do Procurador-Geral do Texas registra 10.456 pessoas só naquele estado, com números de Social Security (SSNs), nomes completos e endereços entre os dados expostos. A firma diz que contratou especialistas externos, avisou as autoridades e não tem evidência de atividade não autorizada na própria rede nem relatos de fraude ou roubo de identidade. Oferece 24 meses de monitoramento de crédito e identidade pela Experian. Nenhum grupo de ransomware reivindicou o ataque até a publicação.

A cobertura anterior mostra um padrão parecido em outras empresas, mas não uma evolução do mesmo caso. Em 20 de julho de 2026, o CEVIU noticiou "Vazamento de Dados na Ernst & Young expõe informações confidenciais de clientes", sobre o comprometimento de uma plataforma de tickets de suporte de terceiros. Em 30 de outubro de 2026, veio "Japan Airlines notifica 92 mil clientes sobre vazamento de dados em fornecedor terceirizado". São incidentes distintos, com a mesma origem: o fornecedor.

Para quem opera segurança em empresas que guardam dados de terceiros, o caso reforça que o risco passa pelo fornecedor. A rede da própria Baker Tilly não foi apontada como comprometida, e mesmo assim os clientes tiveram SSNs expostos. Na leitura editorial, isso pede inventário de provedores que armazenam dados sensíveis, cláusulas de notificação rápida e revisão de quais dados realmente precisam ficar nessas plataformas.