Baker Tilly prévient ses clients d’une fuite chez un fournisseur, avec des NAS américains au Texas

Baker Tilly Advisory Group, l’un des plus grands cabinets de comptabilité et de conseil aux États-Unis, a commencé à prévenir des clients qu’une partie de leurs renseignements personnels, et parfois ceux de leurs personnes à charge, ont été pris sur une plateforme exploitée par l’un de ses fournisseurs de services. Sa lettre type (en anglais), déposée auprès du procureur général de la Californie et datée du 9 novembre 2026, décrit ce qui s’est passé. BleepingComputer (en anglais) a fait état des avis le 11 novembre. Voici ce que dit la lettre, ce qu’elle omet, et quoi faire si vous en recevez une.

Ce que Baker Tilly dit s’être passé

Selon la lettre :

• 2 septembre 2026 : la date de la fuite inscrite dans le dépôt en Californie.
• 6 septembre : Baker Tilly a pris connaissance d’un possible incident de cybersécurité touchant des renseignements stockés sur une plateforme exploitée par un fournisseur de services qu’il utilise pour servir ses clients.
• L’intrus a pu obtenir des données concernant certains clients de Baker Tilly.
• 28 octobre : Baker Tilly a terminé l’examen des données touchées et déterminé à qui elles appartenaient.
• 9 novembre : la date figurant sur la lettre type.

Baker Tilly dit avoir contenu l’incident, fait appel à des experts externes et avisé les forces de l’ordre, et n’avoir trouvé aucune preuve d’un accès non autorisé continu à son propre réseau ou à ses systèmes. Il dit n’avoir connaissance d’aucun vol d’identité ou fraude lié à l’incident et croire que les renseignements « ne seront ni utilisés à mauvais escient ni vendus ». Il n’explique pas pourquoi il le croit.

Ce que la lettre omet

La lettre type ne nomme pas le fournisseur de services et ne dit pas comment la plateforme a été atteinte. La liste des types de données est un espace réservé que chaque lettre personnelle remplit, donc la lettre type ne montre pas ce qui a été pris. Elle ne donne pas non plus le nombre total de personnes touchées.

BleepingComputer a constaté que le bureau du procureur général du Texas recense 10 456 Texans touchés, avec numéros de sécurité sociale (l’équivalent américain du NAS), noms complets, adresses et d’autres renseignements parmi les types de données. Ce n’est qu’un État, donc le total réel est probablement plus élevé. BleepingComputer dit n’avoir trouvé aucun groupe rançongiciel revendiquant l’attaque.

Ce que Baker Tilly offre

Baker Tilly offre deux ans de surveillance du crédit et de l’identité par Experian, sans frais. Les questions vont à son centre d’appels au 833-918-3966, du lundi au vendredi, de 8 h à 20 h, heure du Centre, et on vous demandera le numéro de mandat imprimé sur votre lettre.

Ce que ça signifie pour vous

Les cabinets de comptabilité et de fiscalité détiennent certains des dossiers les plus sensibles qui soient : numéros de sécurité sociale pour vous et vos personnes à charge, adresses, et souvent des renseignements sur le revenu. Un nom, une adresse et un numéro de sécurité sociale suffisent pour tenter d’ouvrir du crédit ou de produire une fausse déclaration de revenus à votre nom. Ils rendent aussi beaucoup plus crédibles les tentatives d’hameçonnage et les appels frauduleux qui parlent de « vos documents fiscaux ».

Ce que vous pouvez faire

1. Lisez votre lettre attentivement. Elle précise les types de renseignements vous concernant qui ont été touchés. Conservez-la, avec le numéro de mandat.
2. Inscrivez-vous à la surveillance Experian avec le code de votre lettre, pas avec un lien reçu dans un courriel inattendu.
3. Gelez votre crédit auprès d’Equifax, d’Experian et de TransUnion. Aux États-Unis, le gel est gratuit et empêche l’ouverture de nouveaux comptes à votre nom. Faites-le aussi pour les personnes à charge nommées dans la lettre.
4. Obtenez un NIP de protection de l’identité de l’IRS. L’IP PIN de l’IRS empêche quelqu’un d’autre de produire une déclaration avec votre numéro de sécurité sociale.
5. Méfiez-vous des appels ou courriels au sujet de votre dossier fiscal qui vous demandent de confirmer votre numéro de sécurité sociale, vos coordonnées bancaires ou un identifiant. Appelez Baker Tilly ou votre contact habituel à un numéro que vous avez déjà.

Comment Frame peut aider

Baker Tilly n’a pas publié de liste d’adresses courriel touchées, donc il n’y a pas encore d’enregistrement de fuite à ajouter dans Frame. Si vous avez reçu une lettre, ajoutez la fuite à une adresse courriel vérifiée dans Frame pour obtenir une courte liste de vérification. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les enregistrements divulgués eux-mêmes.

À lire aussi

• Who Gives A Crap dit qu’un fournisseur marketing a exposé noms et adresses : une autre fuite survenue chez un fournisseur plutôt que chez l’entreprise avec qui les gens faisaient affaire.
• La fuite chez Front Systems touche les clients de chaînes de vêtements norvégiennes : la fuite d’un fournisseur de logiciels, cette semaine, qui a aussi touché les clients de ses clients.

Sources

• Procureur général de la Californie, Submitted breach notification sample: Baker Tilly Advisory Group, LP (en anglais), avec la lettre type (PDF, en anglais), novembre 2026
• BleepingComputer, Baker Tilly notifies clients of data breach at third-party provider (en anglais), 11 novembre 2026