PwC bestätigt Cybervorfall bei Dienstleister mit Mitarbeiter-Lerndaten

PwC bestätigte den Vorfall am 23. Oktober 2026, einen Tag nachdem Everest seine Vorwürfe veröffentlicht hatte. Die betroffene Seite enthalte keine Kundendaten, keine sensiblen personenbezogenen Daten und keine Finanzinformationen, erklärte das Unternehmen. „Sobald wir von diesem Vorfall erfahren haben, haben wir umgehend gehandelt, um die Umgebung abzusichern und eine gründliche Prüfung durchzuführen“, sagte ein globaler Sprecher von PwC. Das eigene Netzwerk und der Betrieb seien nicht betroffen.

Die Identität des Dienstleisters wurde nicht bekannt gegeben. PwC wollte sich nicht dazu äußern, wie viele Informationen angeblich gestohlen wurden und ob Everests Aussagen den Inhalt des betroffenen Systems zutreffend wiedergeben, berichtete Beinsure. Die Bestätigung belegt, dass sich ein Vorfall bei einem externen Anbieter ereignet hat. Den Diebstahl von 590 GB oder die von Everest beschriebenen Datenkategorien stützt sie nicht.

Everests Behauptung

Everest listete PwC, eines der vier großen Wirtschaftsprüfungsunternehmen, am 22. Oktober 2026 auf seiner Leak-Seite, berichtete Beinsure unter Berufung auf die Forschungsplattform für Cyberkriminalität eCrime.ch. Die Gruppe behauptete, 590 GB Daten zu besitzen, darunter regionale HR- und Learning-Exporte, Integrationsdokumentation, Softwarekomponenten und PwC-E-Learning-Kurse. Sie erklärte, das Material enthalte Informationen über Personen sowie deren organisatorischen und beruflichen Werdegang, einschließlich Namen, E-Mail-Adressen, Telefonnummern und Postanschriften. Diese Angaben wurden nicht unabhängig überprüft.

GBHackers berichtete, der Screenshot der Leak-Seite beschreibe einen Datensatz mit der Bezeichnung pwc.com 590 GB Database mit 590,69 GB in 108.426 Dateien in 494 Verzeichnissen sowie 1.386 Archivcontainern mit 19.324 Dateien. Die Auflistung zeige 1.333 ursprüngliche Archivcontainer und 53 verschachtelte Container, zusammen dieselben 1.386. Der Screenshot allein belegt nicht, wie das Material erlangt wurde.

Hackmanac ordnete die angeblichen Daten PwC-Standorten in Australien, China, Kanada und Großbritannien zu, darunter ein HR-Datensatz mit 213.084 Einträgen, berichtete GBHackers. Diese Zahl belegt nicht, wie viele verschiedene Personen in dem Datensatz vorkommen. Everests Veröffentlichung enthielt einen Countdown mit etwa fünf verbleibenden Tagen und die Warnung, die Dateien würden veröffentlicht, falls keine Einigung erzielt werde. Cybersecurity News berichtete von einer Frist zur Veröffentlichung am 28. Oktober, die nicht unabhängig bestätigt wurde.

Cybersecurity News berichtete, in dem geprüften Material seien weder eine Lösegeldsumme noch eine Methode für den Erstzugang noch Belege für verschlüsselte PwC-Systeme festgestellt worden. Everest habe bereits früher mit Diebstahlsbehauptungen Druck auf genannte Organisationen ausgeübt, darunter ein angeblicher Angriff auf McDonald's India.

Was die Behauptung umfasst

Das behauptete Material vermischt zwei Arten von Daten, berichtete Shattered. Softwarekomponenten und Integrationsdokumentation beschreiben, wie eine Lernplattform mit anderen Systemen verbunden ist. HR- und Learning-Exporte deuten auf Aufzeichnungen über Mitarbeiter und Schulungsverläufe hin. PwC erklärt, die betroffene Seite habe keine sensiblen personenbezogenen Daten enthalten; Everest behauptet, Mitarbeiterdaten erbeutet zu haben. Die beiden Aussagen widersprechen sich nicht direkt, weil sie unterschiedliche Dinge beschreiben.

VARIndia berichtete, es gebe keine unabhängig überprüften Belege dafür, dass aktive Zugangsdaten, Verschlüsselungsschlüssel oder betriebliche Authentifizierungstoken kompromittiert wurden. Der Bericht merkte an, HR-Anwendungen und Lernplattformen verarbeiteten Mitarbeiterinformationen und unterhielten zugleich Integrationen mit Identitätsmanagementsystemen. Ein Vorfall bei einem Lieferanten könne ein Beratungsunternehmen in den Fokus rücken, selbst wenn die Kernsysteme sicher bleiben. Cybersecurity News merkte an, detaillierte Mitarbeiterdaten könnten Kriminellen helfen, überzeugende Phishing-Nachrichten zu erstellen oder sich als Mitarbeiter auszugeben.

Der Hinweis auf den Dienstleister

Der Screenshot der Leak-Seite nennt ein Verzeichnis, pwc-stg.csod.com, und beschreibt Material der Plattform Cornerstone OnDemand, berichteten GBHackers und Cybersecurity News. Forscher bringen diesen Hostnamen mit der Learning-Management-Technologie von Cornerstone OnDemand in Verbindung, berichtete VARIndia. Cloudskope identifizierte eine Staging-Umgebung, die mit dieser Plattform zusammenhängt. Das belegt nicht, wie ein Eindringling hineingelangte, und beweist nicht, dass die Produktionsinfrastruktur von Cornerstone kompromittiert wurde.

Die öffentlichen Erklärungen von PwC nennen nicht, wie viele Mitarbeiter in den Lerndaten vorkommen.

Was offen bleibt

Beinsure berichtete, PwC habe die Behauptungen Stand 26. Oktober weiter untersucht. Cybersecurity News berichtete, die zentralen Fragen blieben die Echtheit der Daten, ihre Eigentümerschaft, der Umfang des Zugriffs und ob Einträge aktuell sind.