PwC : Everest revendique 590 Go de données volées via un prestataire

Les faits

Le 22 octobre 2026, le groupe de cybercriminels Everest a publié sur son site de fuite l'entrée « PricewaterhouseCoopers (PwC) », revendiquant le vol de 590,69 gigaoctets de données appartenant au cabinet de conseil et d'audit. Selon les captures d'écran publiées sur le portail d'extorsion du groupe, l'archive revendicquée contiendrait 108 426 fichiers issus d'un système de gestion de la formation hébergé à l'adresse pwc-stg.csod.com — une instance de la plateforme Cornerstone OnDemand, éditeur de solutions cloud de gestion des talents et de la formation.

PwC a confirmé le 23 octobre 2026 un incident de cybersécurité impliquant un prestataire tiers fournissant des services de stockage pour les archives de formation des employés. Un porte-parole mondial du cabinet a précisé que « le site affecté ne stockait pas de données clients, de données personnelles sensibles ni d'informations financières » et que « l'incident n'a pas affecté le réseau interne ni les opérations du cabinet ». Cette formulation prudente reconnaît explicitement la réalité d'un incident, tout en délimitant soigneusement son périmètre déclaré.

L'analyse des captures d'écran diffusées par Everest révèle un contenu nettement plus sensible que la qualification minimisante de PwC ne le laisse entendre. Les données comportent des enregistrements d'employés incluant : noms complets, adresses email professionnelles, numéros de téléphone, adresses postales, intitulés de poste, noms de responsables hiérarchiques, dates d'embauche et de départ. Pour les profils d'employés mexicains, les données comprennent également des identifiants nationaux à haute valeur : numéros CURP (Clave Única de Registro de Población), RFC (Registro Federal de Contribuyentes), IMSS et INFONAVIT — soit des identifiants fiscaux et de sécurité sociale dont la compromission peut ouvrir la voie à des fraudes graves.

Avec 364 000 collaborateurs répartis dans 151 pays, PwC est l'un des quatre plus grands cabinets de conseil et d'audit mondiaux (Big Four). La structure des données décrite — exports de la plateforme Cornerstone OnDemand, répertoire nommé pwc-stg (vraisemblablement un environnement de staging) — laisse penser que la compromission s'est produite au niveau du prestataire SaaS, et non directement dans les systèmes de PwC. Cornerstone OnDemand n'avait pas publié de déclaration publique à la date de rédaction de cet article.

Ce mode opératoire est caractéristique d'Everest, actif depuis 2020 et spécialisé dans la double extorsion : vol préalable de données, publication partielle pour crédibiliser la menace, puis pression pour payer avant publication complète. Le groupe cible systématiquement les prestataires SaaS et cloud de grandes organisations, contournant ainsi les défenses renforcées des cibles directes pour accéder à leurs données via des maillons plus faibles de la chaîne d'approvisionnement. Ses précédentes cibles déclarées incluent des agences gouvernementales latino-américaines, des entités de santé américaines et des cabinets de services professionnels.

La question de la portée réelle de l'incident reste ouverte. Si la compromission a eu lieu au niveau de l'infrastructure Cornerstone OnDemand, d'autres clients de l'éditeur pourraient être concernés sans que leurs données aient été revendiquées publiquement dans cette campagne. L'absence de déclaration de Cornerstone OnDemand est notable à cet égard.

Pour les 108 426 fichiers revendiqués, la volumétrie est cohérente avec un export de données RH d'une grande entreprise mondiale. Les employés dont les données sont exposées — en particulier ceux dont les identifiants nationaux mexicains figurent dans la fuite — font face à un risque concret d'usurpation d'identité, de fraude fiscale et de campagnes de phishing ciblé (spear-phishing) exploitant des informations professionnelles précises pour paraître légitimes.

Ce type d'incident illustre une tendance de fond : les grandes organisations ont considérablement durci leur propre périmètre ces dernières années, forçant les groupes ransomware à reporter leur attention sur les prestataires cloud, SaaS et intégrateurs dont le niveau de sécurité est souvent moindre. La relation de confiance implicite entre une organisation et son écosystème de fournisseurs devient ainsi le vecteur d'entrée de choix — sans avoir à affronter directement les défenses du RSSI de PwC.

Impact et exposition

Les collaborateurs actuels et anciens employés de PwC dont les données figurent dans les archives de formation Cornerstone OnDemand sont directement concernés. Les employés de la filiale mexicaine sont exposés à un risque accru en raison de la présence d'identifiants nationaux. PwC n'a pas communiqué le nombre de personnes concernées ni les régions géographiques impliquées au-delà du Mexique.

Recommandations

• Collaborateurs PwC actuels ou anciens : être vigilant face à tout contact exploitant des informations professionnelles précises — signe de spear-phishing basé sur la fuite
• DSI/RSSI : auditer l'ensemble des contrats avec des prestataires SaaS stockant des données RH ou de formation ; exiger des attestations SOC 2 Type II à jour et des droits d'audit contractuels
• Intégrer les LMS (Learning Management Systems) et les plateformes RH cloud dans le périmètre des évaluations de risque tiers — ces outils sont rarement inclus dans les revues de sécurité prioritaires
• Déployer ou renforcer une veille sur les sites de fuite ransomware pour détecter rapidement toute revendication impliquant votre organisation ou vos prestataires