PwC potwierdziło incydent cybernetyczny u dostawcy przechowującego dane szkoleniowe pracowników

PwC potwierdziło incydent 23 października 2026 r., dzień po tym, jak Everest opublikował swoje twierdzenia. Firma podała, że witryna, której dotyczył incydent, nie zawierała danych klientów, wrażliwych danych osobowych ani informacji finansowych. „Gdy tylko dowiedzieliśmy się o tym incydencie, natychmiast zabezpieczyliśmy środowisko i przeprowadziliśmy dokładny przegląd”, powiedział globalny rzecznik PwC. Firma podała, że incydent nie dotknął jej własnej sieci ani działalności.

Tożsamości dostawcy nie ujawniono. PwC nie chciało komentować, ile informacji miało zostać skradzionych ani czy oświadczenia Everestu wiernie opisywały zawartość zaatakowanego systemu, podał Beinsure. Potwierdzenie oznacza, że do incydentu doszło u zewnętrznego dostawcy, ale nie potwierdza kradzieży 590 GB ani kategorii danych, które wymienia Everest.

Twierdzenia Everestu

Everest umieścił PwC, jedną z czterech największych firm usług profesjonalnych (Big Four), na swojej stronie wyciekowej 22 października 2026 r., podał Beinsure, powołując się na platformę badającą cyberprzestępczość eCrime.ch. Grupa twierdziła, że ma 590 GB danych: regionalne eksporty danych kadrowych i szkoleniowych, dokumentację integracji, komponenty oprogramowania oraz kursy e-learningowe PwC. Podała, że materiał zawiera informacje o osobach oraz ich historii zatrudnienia i przynależności organizacyjnej, w tym imiona i nazwiska, adresy e-mail, numery telefonów i adresy fizyczne. Opisów tych nie zweryfikowano niezależnie.

GBHackers podał, że zrzut ekranu ze strony wyciekowej opisywał zbiór danych oznaczony jako pwc.com 590 GB Database, o rozmiarze 590,69 GB, w 108 426 plikach w 494 katalogach, plus 1 386 kontenerów archiwalnych zawierających 19 324 pliki. Na liście widnieje 1 333 oryginalnych kontenerów archiwalnych i 53 zagnieżdżone, co daje tę samą sumę 1 386. Sam zrzut ekranu nie wyjaśnia, w jaki sposób pozyskano materiał.

Hackmanac przypisał domniemane dane operacjom PwC w Australii, Chinach, Kanadzie i Wielkiej Brytanii, w tym jeden zbiór kadrowy liczący 213 084 rekordów, podał GBHackers. Ta liczba nie mówi, ile unikalnych osób występuje w zbiorze. Wpis Everestu zawierał odliczanie wskazujące, że pozostało około pięciu dni i ostrzeżenie, że pliki zostaną opublikowane, jeśli nie dojdzie do porozumienia. Cybersecurity News podał termin publikacji na 28 października, czego niezależnie nie potwierdzono.

Cybersecurity News podał, że w przejrzanym materiale nie ustalono kwoty okupu, sposobu pierwszego dostępu ani dowodów na zaszyfrowanie systemów PwC. Everest już wcześniej używał twierdzeń o kradzieży danych, żeby wywierać presję na wskazane organizacje, m.in. w domniemanym włamaniu do McDonald's India.

Czego dotyczą twierdzenia

Domniemany materiał łączy dwa rodzaje danych, podał Shattered. Komponenty oprogramowania i dokumentacja integracji opisują, jak platforma szkoleniowa łączy się z innymi systemami. Eksporty kadrowe i szkoleniowe wskazują na rekordy dotyczące pracowników i historii szkoleń. PwC twierdzi, że zaatakowana witryna nie zawierała wrażliwych danych osobowych; Everest twierdzi, że zabrał dane pracowników. Te dwa zdania nie są w bezpośredniej sprzeczności, bo mówią o czym innym.

VARIndia podał, że nie ma niezależnie zweryfikowanych dowodów na przejęcie aktywnych poświadczeń, kluczy szyfrujących ani tokenów uwierzytelniania operacyjnego. Zaznaczył, że aplikacje kadrowe i platformy szkoleniowe przetwarzają dane pracowników i utrzymują integracje z systemami zarządzania tożsamością. Incydent u dostawcy może narazić firmę konsultingową na wnikliwą kontrolę, nawet gdy jej kluczowe systemy pozostają bezpieczne. Cybersecurity News zauważył, że szczegółowe dane pracowników mogą pomóc przestępcom przygotować przekonujące wiadomości phishingowe albo podszyć się pod pracowników.

Trop dostawcy

Zrzut ekranu ze strony wyciekowej wymienia katalog pwc-stg.csod.com i opisuje materiały platformy Cornerstone OnDemand, podały GBHackers i Cybersecurity News. Badacze wiążą tę nazwę hosta z technologią zarządzania szkoleniami Cornerstone OnDemand, podał VARIndia. Cloudskope zidentyfikował środowisko przedprodukcyjne (staging) powiązane z tą platformą. To nie wyjaśnia, jak intruz wszedł do środka, ani nie dowodzi, że doszło do włamania do produkcyjnej infrastruktury Cornerstone.

Publiczne oświadczenia PwC nie mówią, ile pracowników występuje w danych szkoleniowych.

Co pozostaje otwarte

Beinsure podał, że na 26 października PwC nadal badało te twierdzenia. Cybersecurity News podał, że główne pytania dotyczą autentyczności danych, ich właściciela, zakresu dostępu oraz tego, czy któreś rekordy są aktualne.