Baker Tilly Advisory Group memberi tahu klien bahwa insiden keamanan pada penyedia layanan pihak ketiga mengekspos informasi pribadi mereka dan anggota keluarga yang menjadi tanggungan. Data tersebut tersimpan pada platform yang digunakan perusahaan dalam memberikan layanan kepada klien.
Perusahaan mengetahui potensi insiden pada 6 September 2026. Pemeriksaan terhadap data terdampak selesai pada 28 Oktober, kemudian Baker Tilly mengonfirmasi informasi kontak penerima dan menyiapkan pemberitahuan. Contoh surat yang disampaikan kepada regulator bertanggal 9 November.
Pelaku mengambil data dari platform penyedia jasa
Dalam pemberitahuan kepada individu terdampak, Baker Tilly menyatakan pihak tanpa izin berhasil memperoleh data terkait sejumlah klien. Nama penyedia layanan dan rincian teknis jalur penyusupan belum disebutkan dalam dokumen publik tersebut.
Catatan pada portal Jaksa Agung California mencantumkan 2 September sebagai tanggal kebocoran. Tanggal itu berbeda dari 6 September, ketika perusahaan menyadari potensi insiden. Keduanya menunjukkan tahapan berbeda dalam kronologi, yakni kejadian dan penemuannya.
Baker Tilly menyebut telah segera mengambil langkah pembatasan dan melibatkan pakar eksternal untuk menyelidiki cakupan dampak. Perusahaan juga memberitahukan insiden kepada penegak hukum serta bekerja sama dengan mereka.
Lebih dari 10.000 penduduk Texas terdampak
Data pelaporan kepada kantor Jaksa Agung Texas menyebut 10.456 individu di negara bagian tersebut terdampak. Kategori informasi yang dilaporkan mencakup nama lengkap, alamat, nomor Social Security, dan informasi lainnya. Angka Texas tidak menunjukkan total seluruh individu yang terlibat dalam insiden.
Contoh surat publik masih menggunakan kolom pengganti untuk jenis informasi pribadi masing-masing penerima. Karena itu, kategori data yang terkait dengan seseorang perlu dilihat pada pemberitahuan individualnya, bukan diasumsikan sama untuk semua klien.
Dokumen pemberitahuan juga memuat versi bagi orang tua atau wali anak. Hal ini menunjukkan penanganan mencakup informasi tanggungan yang belum dewasa, selain data individu dewasa. Surat tersebut meminta penerima tetap waspada terhadap kemungkinan penyalahgunaan informasi.
Pemantauan identitas ditawarkan selama dua tahun
Baker Tilly menawarkan layanan pemantauan kredit dan identitas Experian selama 24 bulan tanpa biaya bagi individu terdampak. Perusahaan juga menganjurkan pemeriksaan berkala terhadap laporan kredit dan mutasi rekening untuk menemukan aktivitas yang tidak dikenali.
Perusahaan menyatakan belum mengetahui adanya pencurian identitas atau penipuan terkait informasi dalam insiden ini. Tidak adanya laporan penyalahgunaan saat pemberitahuan disusun tidak menghilangkan kebutuhan bagi penerima untuk meninjau informasi yang tercantum dalam surat mereka.
Sejak mengidentifikasi insiden, Baker Tilly menyebut tidak menemukan bukti akses tanpa izin yang berlanjut pada jaringan atau sistemnya. Pernyataan tersebut menggambarkan hasil pemeriksaan perusahaan dan tidak mengubah konfirmasi bahwa data klien telah diperoleh pelaku dari platform pihak ketiga.
Jaringan global berbeda dari cakupan kebocoran
Baker Tilly dikenal sebagai jaringan layanan akuntansi dan advisory dengan aktivitas di bidang audit, pajak, konsultasi, serta layanan profesional lain. Baker Tilly International melaporkan pendapatan gabungan global US$6,8 miliar untuk tahun yang berakhir 31 Desember 2025.
Laporan jaringan tersebut mencatat lebih dari 50.400 personel di 147 wilayah. Angka itu merupakan ukuran keseluruhan jaringan internasional, bukan jumlah kantor atau individu yang terdampak kebocoran pada Baker Tilly Advisory Group.
Informasi publik mengenai insiden masih terbatas, terutama identitas vendor dan jumlah korban secara keseluruhan. Penerima pemberitahuan sebaiknya mengikuti petunjuk pada surat resminya untuk mengetahui data yang terkait dengan dirinya serta layanan perlindungan yang ditawarkan.
Sumber: Baker Tilly – Pemberitahuan insiden keamanan kepada individu terdampak
