Everest Ransomware revendique 590 Go de données volées à PwC

Everest frappe (peut-être) là où ça fait le plus mal : les Big Four

Le groupe cybercriminel Everest a publié le 22 octobre 2026 sur son site de fuite dans le dark web une revendication affirmant avoir exfiltré 590,69 gigaoctets de données confidentielles appartenant à PwC — PricewaterhouseCoopers — l'un des quatre plus grands cabinets d'audit et de conseil au monde. La revendication détaille un inventaire précis : 108 426 fichiers répartis dans les opérations de PwC en Australie, en Chine, au Canada et au Royaume-Uni, ainsi qu'un fichier de données RH consolidant 213 084 enregistrements d'employés ou de collaborateurs.

Les données alléguées comprennent, selon la description publiée par Everest, des documents RH, des supports de formation interne, des documents d'entreprise de nature confidentielle, et — élément particulièrement sensible — du code source et des fichiers de configuration liés à l'infrastructure d'authentification unique (SSO) de PwC. Si cette dernière catégorie est authentique, elle représenterait un risque systémique majeur : les configurations SSO permettent en principe de comprendre l'architecture d'authentification d'un réseau et pourraient, dans certains cas, fournir des informations exploitables pour des attaques futures contre PwC ou ses clients.

Au moment de la publication de cet article, PwC n'a fait aucune déclaration publique concernant cette revendication. Le cabinet n'a ni confirmé avoir subi une intrusion, ni infirmé les allégations du groupe Everest. Cette absence de réaction officielle dans les premières heures est courante lors d'incidents de sécurité potentiels chez les grands groupes : les équipes juridiques et de communication prennent le temps de vérifier les faits et de préparer une réponse coordonnée avant toute prise de parole publique. Chaque heure de silence amplifie cependant l'incertitude et les spéculations dans la communauté de la sécurité.

Le groupe Everest aurait fixé une deadline au 28 octobre 2026 — soit environ six jours après la publication de la revendication — pour le paiement d'une rançon dont le montant n'a pas été rendu public. Passé ce délai, le groupe menace de publier l'intégralité des données volées. Ce modèle de double extorsion — combinant la menace de chiffrement des systèmes et la publication des données exfiltrées — est devenu la norme dans l'industrie du ransomware depuis 2019-2020. Il est particulièrement redoutable contre des cabinets de conseil et d'audit, car la valeur des données qu'ils détiennent est souvent liée à leur confidentialité absolue.

L'authenticité de la revendication reste incertaine à ce stade. Les spécialistes en threat intelligence soulignent plusieurs zones d'ombre : aucun échantillon de données vérifiable n'a été rendu public par Everest pour prouver la possession des fichiers, le vecteur d'accès initial n'est pas connu, et aucune preuve d'impact opérationnel sur les systèmes de PwC — comme un chiffrement observable ou une interruption de service — n'a été signalée. La multiplication des fausses revendications dans l'écosystème ransomware invite à la prudence avant d'évaluer la gravité réelle de l'incident.

Everest est un groupe ransomware-as-a-service (RaaS) actif depuis au moins 2020, initialement spécialisé dans les environnements Windows mais ayant progressivement étendu ses capacités aux systèmes Linux et aux environnements VMware ESXi. Le groupe est notamment connu pour avoir compromis le système du Département des transports de Louisiane en 2021 et pour plusieurs intrusions dans des administrations sud-américaines. Son modèle opérationnel s'appuie sur un réseau d'affiliés qui conduisent les opérations d'intrusion initiale, tandis que le core group fournit l'infrastructure de chiffrement et de négociation de rançon.

La cible PwC est particulièrement emblématique pour comprendre l'évolution stratégique des opérateurs ransomware. Avec ses 364 000 collaborateurs dans 151 pays, un chiffre d'affaires dépassant 55 milliards de dollars en 2025, et des accès privilégiés à des données financières, stratégiques et opérationnelles des plus grandes entreprises et administrations mondiales, PwC représente un vecteur de compromission potentiellement extraordinaire. Un accès prolongé et discret aux systèmes de PwC pourrait théoriquement permettre un pivot vers des centaines de clients stratégiques.

L'enquête des chercheurs en cybersécurité sur cette revendication se concentre actuellement sur plusieurs points : la comparaison des métadonnées des fichiers listés avec des données potentiellement antérieurement disponibles dans d'autres fuites, l'analyse des caractéristiques techniques de la revendication pour déterminer si elles correspondent aux TTP documentées d'Everest, et la surveillance des forums cybercriminels pour détecter toute mise en vente anticipée ou divulgation partielle des données alléguées.

Les Big Four dans le viseur des ransomwares : un nouveau front

La revendication contre PwC s'inscrit dans une tendance plus large observée depuis 2023 : les grands cabinets de conseil, d'audit et de services professionnels sont devenus des cibles de premier choix pour les opérateurs ransomware les plus sophistiqués. Cette évolution stratégique répond à une logique économique implacable. Les Big Four — Deloitte, PwC, EY et KPMG — gèrent collectivement les données financières, stratégiques et opérationnelles de la quasi-totalité des entreprises du Fortune 500 et de nombreuses administrations publiques mondiales. Leur compromission n'est pas seulement une fin en soi, mais potentiellement un point d'entrée vers des centaines de victimes en cascade.

Deloitte avait déjà subi une violation significative en 2017, lorsque des hackers avaient accédé à son serveur e-mail d'administration pendant plusieurs mois, potentiellement exposant les communications confidentielles de nombreux clients. Plus récemment, plusieurs cabinets de second rang ont subi des attaques ransomware avec des demandes de rançon atteignant des dizaines de millions de dollars. La montée en puissance des attaques contre les fournisseurs de services professionnels reflète la maturation stratégique des groupes cybercriminels, qui comprennent désormais la valeur multiplicatrice d'un accès aux infrastructures de leurs cibles les plus connectées à l'économie mondiale.

Sur le plan de la compliance, si la violation est confirmée, PwC serait soumis à des obligations de notification multiples et complexes. Au Royaume-Uni, l'Information Commissioner's Office (ICO) exige une notification dans les 72 heures suivant la prise de connaissance d'une violation. En Australie, l'Office of the Australian Information Commissioner (OAIC) impose un délai similaire. Le RGPD s'applique pour les données des citoyens européens. Pour les 213 084 enregistrements RH potentiellement affectés, PwC devrait notifier individuellement les personnes concernées si le risque pour leurs droits et libertés est jugé élevé.

L'incident soulève également des questions stratégiques pour les clients de PwC. Si des données relatives à des mandats d'audit, des missions de conseil ou des diligences de transaction étaient effectivement dans le périmètre exfiltré, les entreprises concernées pourraient faire face à des risques spécifiques : fuite d'informations stratégiques préalables à des annonces boursières, exposition de vulnérabilités identifiées lors de missions de cybersécurité, ou divulgation de projets M&A confidentiels. PwC devra, en cas de confirmation, mener une analyse approfondie du périmètre des données pour alerter les clients potentiellement concernés.

Ce qu'il faut retenir

• La revendication d'Everest contre PwC (590 Go, 213 000 dossiers RH, code SSO) n'est pas encore vérifiée : PwC n'a pas répondu et aucun échantillon probant n'a été publié à ce stade.
• Si confirmée, cette violation serait l'une des plus significatives jamais subies par un Big Four, avec des implications potentielles en cascade pour les clients du cabinet.
• Les organisations clientes de PwC, EY, Deloitte et KPMG devraient mettre en place une veille spécifique sur les compromissions de leurs prestataires de confiance et réviser leurs contrats pour inclure des clauses d'obligation de notification rapide.