PwC conferma un incidente informatico presso il fornitore che ospita i dati di formazione dei dipendenti

PwC ha confermato l'incidente il 23 ottobre 2026, un giorno dopo la pubblicazione delle accuse di Everest, e ha dichiarato che il sito coinvolto non conteneva dati dei clienti, dati personali sensibili né informazioni finanziarie. "Non appena siamo venuti a conoscenza di questo incidente, abbiamo agito tempestivamente per mettere in sicurezza l'ambiente e svolgere una verifica approfondita", ha detto un portavoce globale di PwC. L'azienda ha precisato che l'incidente non ha riguardato la propria rete né le proprie attività.

L'identità del fornitore non è stata resa nota. PwC non ha voluto commentare la quantità di informazioni presumibilmente rubate né se le dichiarazioni di Everest descrivessero correttamente il contenuto del sistema coinvolto, ha riferito Beinsure. La conferma stabilisce che un incidente si è verificato presso un fornitore esterno, ma non comprova il furto di 590 GB né le categorie di dati indicate da Everest.

La rivendicazione di Everest

Everest ha inserito PwC, una delle Big Four dei servizi professionali, sul proprio sito di leak il 22 ottobre 2026, ha riferito Beinsure citando la piattaforma di ricerca sul cybercrime eCrime.ch. Il gruppo ha sostenuto di aver sottratto 590 GB di dati, tra esportazioni regionali di risorse umane e formazione, documentazione sulle integrazioni, componenti software e corsi di e-learning di PwC. Ha affermato che il materiale comprendeva informazioni su persone e sul loro percorso organizzativo e lavorativo, inclusi nomi, indirizzi email, numeri di telefono e indirizzi fisici. Tali descrizioni non sono state verificate in modo indipendente.

GBHackers ha riferito che lo screenshot del sito di leak descriveva un dataset etichettato pwc.com 590 GB Database, pari a 590,69 GB distribuiti su 108.426 file in 494 directory, più 1.386 contenitori di archivio con 19.324 file. L'elenco mostra 1.333 contenitori di archivio originali e 53 contenitori annidati, per lo stesso totale di 1.386. Lo screenshot da solo non stabilisce come sia stato ottenuto il materiale.

Hackmanac ha attribuito i presunti dati alle attività di PwC in Australia, Cina, Canada e Regno Unito, incluso un dataset delle risorse umane da 213.084 record, ha riferito GBHackers. Quel numero non stabilisce quante persone distinte compaiano nel dataset. Il post di Everest riportava un conto alla rovescia con circa cinque giorni rimanenti e l'avvertimento che i file sarebbero stati pubblicati in assenza di un accordo. Cybersecurity News ha riferito di una scadenza per il rilascio fissata al 28 ottobre, non confermata in modo indipendente.

Cybersecurity News ha riferito che nel materiale esaminato non è stato stabilito alcun importo di riscatto, alcun metodo di accesso iniziale né alcuna prova di sistemi PwC cifrati, e che Everest ha già usato in passato rivendicazioni di furto di dati per fare pressione su organizzazioni identificate, tra cui una presunta violazione ai danni di McDonald's India.

Che cosa copre la rivendicazione

Il materiale rivendicato mescola due tipi di dati, ha riferito Shattered. I componenti software e la documentazione sulle integrazioni descrivono come una piattaforma di formazione si collega ad altri sistemi, mentre le esportazioni di risorse umane e formazione rimandano a registrazioni sul personale e sui percorsi di formazione. PwC afferma che il sito coinvolto non conteneva dati personali sensibili; Everest sostiene di aver preso i dati dei dipendenti. Le due dichiarazioni non sono in conflitto diretto perché descrivono cose diverse.

VARIndia ha riferito che non esistono prove verificate in modo indipendente di credenziali attive, chiavi di cifratura o token di autenticazione operativi compromessi. Ha osservato che le applicazioni di risorse umane e le piattaforme di formazione trattano informazioni sui dipendenti mantenendo integrazioni con i sistemi di gestione delle identità, e che un incidente presso un fornitore può attirare l'attenzione su una società di consulenza anche quando i sistemi principali restano sicuri. Cybersecurity News ha osservato che registrazioni dettagliate dei dipendenti potrebbero aiutare i criminali a costruire messaggi di phishing convincenti o a impersonare il personale.

L'indizio sul fornitore

Lo screenshot del sito di leak nomina una directory, pwc-stg.csod.com, e descrive materiali della piattaforma Cornerstone OnDemand, hanno riferito GBHackers e Cybersecurity News. I ricercatori associano quel nome host alla tecnologia di gestione della formazione di Cornerstone OnDemand, ha riferito VARIndia. Cloudskope ha identificato un ambiente di staging associato a quella piattaforma. Ciò non stabilisce come sia entrato un intruso né prova che l'infrastruttura di produzione di Cornerstone sia stata violata.

Le dichiarazioni pubbliche di PwC non indicano quanti dipendenti compaiano nei dati di formazione.

Che cosa resta aperto

Beinsure ha riferito che PwC continuava a indagare sulle rivendicazioni al 26 ottobre. Cybersecurity News ha riferito che le questioni centrali restano l'autenticità dei dati, la loro proprietà, l'ampiezza dell'accesso e se alcune registrazioni siano attuali.