PwC confirme un incident cyber chez un prestataire qui héberge les dossiers de formation de ses salariés

PwC a confirmé l'incident le 23 octobre 2026, un jour après la publication des accusations par Everest. Le cabinet indique que le site concerné ne contenait ni données clients, ni données personnelles sensibles, ni informations financières. « Dès que nous avons eu connaissance de cet incident, nous avons agi rapidement pour sécuriser l'environnement et mener un examen approfondi », a déclaré un porte-parole mondial de PwC. L'incident n'a touché ni son propre réseau ni ses opérations.

L'identité du prestataire n'a pas été divulguée. PwC a refusé de commenter le volume des informations prétendument dérobées ou l'exactitude des déclarations d'Everest sur le contenu du système touché, rapporte Beinsure. La confirmation établit qu'un incident a bien eu lieu chez un fournisseur externe, mais elle n'atteste pas le vol de 590 Go ni les catégories de données décrites par Everest.

L'affirmation d'Everest

Everest a inscrit PwC, l'un des quatre grands cabinets de services professionnels, sur son site de fuite le 22 octobre 2026, rapporte Beinsure, citant la plateforme de recherche sur la cybercriminalité eCrime.ch. Le groupe affirme avoir dérobé 590 Go de données comprenant des exports RH et de formation régionaux, de la documentation d'intégration, des composants logiciels et des cours en ligne de PwC. Il assure que ces éléments contiennent des informations sur des personnes et sur leur parcours professionnel, notamment des noms, des adresses e-mail, des numéros de téléphone et des adresses postales. Ces descriptions n'ont pas été vérifiées de façon indépendante.

GBHackers rapporte que la capture d'écran du site de fuite décrit un ensemble de données intitulé pwc.com 590 GB Database, soit 590,69 Go répartis en 108 426 fichiers dans 494 répertoires, plus 1 386 conteneurs d'archives renfermant 19 324 fichiers. L'annonce affiche 1 333 conteneurs d'archives d'origine et 53 conteneurs imbriqués, soit le même total de 1 386. La capture d'écran seule ne dit rien de la manière dont les données ont été obtenues.

Hackmanac attribue les données présumées aux activités de PwC en Australie, en Chine, au Canada et au Royaume-Uni, dont un jeu de données RH de 213 084 enregistrements, rapporte GBHackers. Ce chiffre ne permet pas de savoir combien de personnes distinctes figurent dans le jeu de données. La publication d'Everest comportait un compte à rebours d'environ cinq jours et un avertissement : les fichiers seraient publiés à défaut d'accord. Cybersecurity News évoque une échéance au 28 octobre, non confirmée de façon indépendante.

Cybersecurity News indique que les éléments examinés ne permettent d'établir ni montant de rançon, ni mode d'accès initial, ni preuve de chiffrement des systèmes de PwC. Le média rappelle qu'Everest a déjà utilisé des accusations de vol de données pour faire pression sur des organisations nommées, dont une prétendue intrusion chez McDonald's India.

Ce que couvre l'affirmation

Les données revendiquées mélangent deux types d'informations, rapporte Shattered. Les composants logiciels et la documentation d'intégration décrivent la façon dont une plateforme de formation se connecte à d'autres systèmes. Les exports RH et de formation renvoient, eux, à des dossiers sur le personnel et les historiques de formation. PwC affirme que le site touché ne contenait aucune donnée personnelle sensible ; Everest assure avoir pris des dossiers de salariés. Les deux déclarations ne se contredisent pas directement, car elles ne parlent pas de la même chose.

VARIndia ne relève aucune preuve vérifiée de façon indépendante que des identifiants actifs, des clés de chiffrement ou des jetons d'authentification opérationnels auraient été compromis. Le média note que les applications RH et les plateformes de formation traitent des informations sur les salariés tout en maintenant des intégrations avec des systèmes de gestion des identités. Un incident chez un fournisseur peut donc attirer l'attention sur un cabinet de conseil même lorsque ses systèmes centraux restent sûrs. Cybersecurity News souligne que des dossiers détaillés sur les salariés pourraient aider des criminels à concevoir des messages d'hameçonnage convaincants ou à se faire passer pour des collaborateurs.

L'indice du prestataire

La capture d'écran du site de fuite nomme un répertoire, pwc-stg.csod.com, et décrit des éléments de la plateforme Cornerstone OnDemand, rapportent GBHackers et Cybersecurity News. Des chercheurs associent ce nom d'hôte à la technologie de gestion de la formation de Cornerstone OnDemand, rapporte VARIndia. Cloudskope a identifié un environnement de préproduction lié à cette plateforme. Cela n'établit pas comment un intrus est entré, ni ne prouve que l'infrastructure de production de Cornerstone ait été compromise.

Les déclarations publiques de PwC ne précisent pas combien de salariés figurent dans les dossiers de formation.

Ce qui reste ouvert

Beinsure rapporte que PwC poursuivait ses vérifications au 26 octobre. Selon Cybersecurity News, les questions centrales restent l'authenticité des données, leur propriété, l'étendue des accès et le caractère éventuellement actuel des enregistrements.