ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Baker Tilly, settembre 2026: i dati dei clienti dal fornitore
Il 6 settembre 2026 Baker Tilly, società di revisione e consulenza, ha saputo di un possibile incidente presso un fornitore esterno, non nominato, che gestisce una piattaforma per i servizi ai clienti. Un attaccante ha ottenuto dati di clienti, tra cui numeri di previdenza sociale; solo in Texas le persone coinvolte sono 10.456.
- Vittima
- Baker Tilly e i suoi clienti
- Settore
- Revisione e consulenza
- Paese
- Stati Uniti
- Data
- settembre 2026
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Accesso tramite fornitore o terza parte
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy
Le cause in breve
- Fornitore esterno. I dati erano su una piattaforma di un fornitore usata per i servizi ai clienti (BleepingComputer).
- Rete propria non toccata. Baker Tilly dice di non avere prove di attività non autorizzata sulla propria rete (BleepingComputer).
L'impatto
- Ottenuti numeri di previdenza sociale, nomi completi, indirizzi e altri dati (BleepingComputer).
- 10.456 persone coinvolte in Texas; il totale non è noto (BleepingComputer).
- Analisi dei dati chiusa il 28 ottobre; 24 mesi di monitoraggio del credito offerti (BleepingComputer).
- Nessuna segnalazione di furti d'identità o frodi legate all'incidente, secondo la società (BleepingComputer).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeEsperti esterni, consulenza legale, notifiche e monitoraggio del credito rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiNon pertinenteI sistemi di Baker Tilly non risultano colpiti.
- Business interruption propriaNon pertinenteLe fonti non riportano un fermo dell'attività.
- Business interruption dipendente (fornitore)Non pertinenteÈ una fuga di dati presso il fornitore, non un suo fermo.
- EstorsioneNon pertinenteLe fonti non riportano una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeRisponde per i dati dei clienti affidati al fornitore, se la polizza copre i dati presso terzi.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeLe richieste dei clienti di una società professionale rientrano nella responsabilità per i dati e, in parte, in quella professionale.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Dati presso terzi. Alcune polizze coprono solo i dati nei sistemi dell'assicurato.
- Responsabilità professionale. Le richieste legate all'incarico professionale possono andare nella polizza di responsabilità professionale.
- Rivalsa. Il contratto con il fornitore può limitare la rivalsa dell'assicuratore.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Numeri di previdenza sociale di clienti di una grande società professionale, esposti tramite un fornitore.
Nessun segnale di cumulo.