ABD'li denetim ve danışmanlık firması Baker Tilly, üçüncü taraf sağlayıcıdaki ihlal nedeniyle müşterilerini uyarıyor
Baker Tilly, müşteri hizmetlerinde kullandığı bir üçüncü taraf platformdaki ihlalde müşterilerine ve bakmakla yükümlü oldukları kişilere ait verilerin açığa çıktığını bildirdi. Teksas başsavcılığı kayıtlarına göre yalnızca bu eyalette 10.456 kişi etkilendi; açığa çıkan veriler arasında Sosyal Güvenlik numaraları var.
ABD'nin büyük muhasebe, denetim ve danışmanlık firmalarından Baker Tilly Advisory Group, müşterilerine ve onların bakmakla yükümlü olduğu kişilere ait kişisel verilerin bir veri ihlalinde açığa çıktığını bildirmeye başladı. BleepingComputer'ın aktardığına göre veriler, Baker Tilly'nin müşteri hizmetleri için kullandığı ve bir üçüncü taraf sağlayıcının işlettiği platformda tutuluyordu. Sağlayıcının adı bildirimde yer almıyor.
Şirket olası olaydan 6 Eylül 2026'da haberdar oldu; hangi kişilerin verilerinin etkilendiğini belirleyen inceleme 28 Ekim'de tamamlandı. Baker Tilly toplam etkilenen kişi sayısını açıklamadı; ancak Teksas Başsavcılığı'nın veri ihlali portalında yalnızca bu eyalette 10.456 kişinin etkilendiği görülüyor.
Hangi veriler açığa çıktı?
Teksas portalındaki kayda göre etkilenen veriler arasında Sosyal Güvenlik numaraları, ad-soyad, adres ve diğer bilgiler bulunuyor. Şirketin kendi bildirim metninde veri türlerinin yazılması gereken bölüm boş bırakılmış durumda. BleepingComputer, kaynak sağlayıcı, toplam etkilenen sayısı ve veri türleri hakkındaki sorularına yayın saatine kadar yanıt alamadı. Olayı üstlenen bir ransomware grubu da tespit edilmedi.
Şirket ne yaptı?
Baker Tilly, olayı sınırlamak için hemen adım attığını, dış uzmanlarla inceleme başlattığını ve kolluk kuvvetlerini bilgilendirdiğini açıkladı. Firmaya göre kendi ağında yetkisiz etkinlik bulgusu ve bu olayla bağlantılı kimlik hırsızlığı ya da dolandırıcılık bildirimi yok. Etkilenenlere Experian üzerinden 24 ay ücretsiz kredi ve kimlik izleme hizmeti sunuluyor.
Neden önemli?
Muhasebe ve vergi danışmanlığı firmaları, müşterileri ve aile üyeleri hakkında kimlik numarası, gelir ve adres gibi en hassas verileri tutuyor. İhlalin firmanın kendi ağında değil bir hizmet sağlayıcısında yaşanması, üçüncü taraf riskinin veri güvenliğinde ne kadar belirleyici olduğunu gösteriyor. Olayın fark edilmesiyle etkilenenlerin belirlenmesi arasında yaklaşık iki ay geçmesi de bildirim sürelerini uzatıyor.
Ne yapılmalı?
- Bildirim alan kişiler sunulan kimlik izleme hizmetini etkinleştirmeli, kredi raporlarını takip etmeli ve gerekirse kredi dondurma (credit freeze) seçeneğini değerlendirmeli.
- Baker Tilly adına gelen vergi, ödeme veya belge talebi içeren e-posta ve aramalar, bilinen iletişim kanallarından doğrulanmalı.
- Kurumlar, müşteri verisi işleyen hizmet sağlayıcılarının sözleşmelerinde ihlal bildirim süresi, veri saklama süresi ve denetim hakkı maddelerini gözden geçirmeli.
- Üçüncü taraf platformlarda tutulan hassas veriler en aza indirilmeli; artık gerekmeyen kayıtlar sağlayıcı tarafında da silinmeli.
