Qu'Everest affirme-t-il avoir volé chez PwC ?

Everest affirme avoir volé 590,69 Go de données liées à PwC, décrites dans un résumé de l'inscription comme 108 426 fichiers de dossiers d'employés et de données personnelles. D'autres articles mentionnent des dossiers de ressources humaines et du matériel de formation.

PwC a-t-il confirmé que ses données ont été volées ?

Non. L'allégation n'est pas vérifiée, rien ne montre que PwC ait perdu des données, et l'inscription n'était accompagnée ni d'échantillons de données, ni de détails techniques, ni de preuves indépendantes.

Pourquoi une entreprise ou un particulier pourrait-il ne pas apprendre une intrusion chez son conseiller ?

Une entreprise qui confie des dossiers à un conseiller peut ne jamais apprendre qu'un attaquant les détient, sauf si le conseiller le divulgue, et les particuliers dont les données figurent dans les fichiers d'un client n'ont aucun lien direct avec le conseiller.

Que doivent faire les clients et les particuliers maintenant, étant donné l'allégation non confirmée ?

L'article recommande une préparation calme plutôt que la panique : surveiller les avis officiels par courriel ou par courrier et en conserver une copie, et vérifier avant de cliquer, car ces allégations déclenchent souvent des hameçonnages qui imitent un avis d'intrusion.

Everest revendique le vol de 590 Go de données chez PwC : ce que les clients doivent faire

Q: Pourquoi les cabinets de services professionnels comme PwC sont-ils des cibles attractives pour l'extorsion ?

Ils détiennent de grandes quantités d'informations appartenant à d'autres personnes, telles que des documents financiers, des contrats, des données d'employés et des documents internes, souvent réunis au même endroit. Les attaquants savent aussi que ces cabinets ont de bonnes raisons d'éviter une fuite publique.

Le groupe de rançongiciels Everest a inscrit PwC sur son site d'extorsion, plaçant l'un des plus grands réseaux de services professionnels au monde sous les projecteurs. L'allégation n'est pas vérifiée, et rien ne montre que PwC ait perdu des données. Même ainsi, l'allégation d'exposition de données PwC par le rançongiciel Everest rappelle utilement comment une intrusion chez un conseiller peut toucher des personnes qui n'ont jamais eu affaire à l'attaquant, ni même au cabinet lui-même.

Ce qu'Everest affirme à propos de PwC

Selon les médias spécialisés qui suivent l'inscription, Everest affirme avoir volé 590,69 Go de données liées à PwC. Un résumé de l'inscription chiffre le butin à 108 426 fichiers et décrit le contenu comme des dossiers d'employés et des données personnelles. D'autres articles mentionnent des dossiers de ressources humaines et du matériel de formation. Une publication LinkedIn relayant l'allégation allait plus loin, évoquant des données d'employés et d'audit, mais cette description provient de commentaires sur l'allégation et non de preuves vérifiées.

La mise en garde importante est que rien de tout cela n'a été confirmé. Un bulletin de sécurité a noté que l'inscription n'était accompagnée ni d'échantillons de données, ni de détails techniques, ni de preuves indépendantes. Les groupes de rançongiciels inscrivent des victimes pour créer la pression, et une inscription seule ne prouve pas que des données ont été dérobées, qu'elles sont authentiques, ou qu'elles proviennent des systèmes de PwC comme l'affirme le groupe. Tant que PwC n'aura pas confirmé un incident ou que des preuves crédibles n'apparaîtront pas, les lecteurs doivent considérer les chiffres ci-dessus comme des allégations.

Pourquoi les conseillers tiers sont des cibles d'extorsion attractives

Les cabinets de services professionnels détiennent beaucoup d'informations qui appartiennent à d'autres. Les auditeurs, consultants et conseillers fiscaux reçoivent des documents financiers, des contrats, des données d'employés et des documents internes pour pouvoir faire leur travail. Ces fichiers se trouvent souvent au même endroit, ce qui rend une seule intrusion réussie potentiellement précieuse.

C'est là que l'écart entre le propriétaire des données et le détenteur des données compte. Une entreprise qui confie des dossiers à un conseiller peut ne jamais apprendre qu'un attaquant les détient, sauf si le conseiller le divulgue. Les particuliers sont encore plus éloignés : un employé dont les données figurent dans les fichiers d'un client n'a aucun lien direct avec le conseiller.

Il existe aussi un effet de levier. Les équipes de rançongiciels modernes ne comptent rarement sur le chiffrement seul. Elles volent d'abord les données et menacent de les publier, ce qui est la tactique que nous décrivons dans notre explication sur la double extorsion par rançongiciel. Un cabinet qui sert de nombreux clients sensibles a de bonnes raisons d'éviter une fuite publique, et les attaquants le savent. Nommer une cible très en vue sur un site de fuite attire aussi l'attention, que l'allégation soit fondée ou non.

Ce que les clients et les particuliers devraient vérifier maintenant

Il n'y a pas d'intrusion confirmée à laquelle répondre, l'objectif est donc une préparation calme, pas la panique. Quelques mesures pratiques méritent d'être prises :

Surveillez les avis officiels. Si PwC ou l'un de vos propres conseillers confirme un incident, les notifications arrivent généralement par courriel ou par courrier. Lisez-les attentivement et conservez une copie.
Vérifiez avant de cliquer. Des allégations comme celle-ci déclenchent souvent des hameçonnages qui imitent un avis d'intrusion. Rendez-vous directement sur le site officiel de l'organisation au lieu de suivre des liens contenus dans des messages inattendus.
Interrogez vos propres contacts. Si votre entreprise travaille avec PwC, demandez à votre interlocuteur commercial ou à votre équipe juridique s'ils ont été informés de quoi que ce soit et quelles données ont été partagées.
Passez en revue ce que vous avez envoyé. Dressez une liste approximative des données personnelles, financières ou relatives aux employés que votre organisation a transmises à des conseillers externes. Vous ne pouvez pas évaluer le risque sans savoir ce qui circule.
Gardez un œil sur vos comptes. Si vous êtes employé ou client d'un cabinet qui fait appel à de grands conseillers, surveillez l'activité bancaire et de crédit et soyez prudent face aux appels ou courriels non sollicités qui font référence à votre emploi ou à vos finances.

Comment limiter l'exposition lorsque des conseillers détiennent vos données

Vous ne pouvez pas contrôler entièrement la manière dont un tiers sécurise vos informations, mais vous pouvez réduire ce qu'il détient et la durée de conservation.

Partagez le minimum. N'envoyez que les dossiers requis par une mission. Masquez ou supprimez les champs qui ne sont pas nécessaires, comme les dates de naissance complètes ou les numéros de pièce d'identité officielle.

Fixez des conditions de conservation. Les contrats peuvent préciser combien de temps un conseiller conserve les données après la fin d'un projet et exiger leur suppression ou leur restitution ensuite. Les anciens fichiers qui traînent sur les serveurs d'un cabinet constituent une exposition sans bénéfice.

Renseignez-vous sur la sécurité et la notification. Les organisations peuvent demander des détails sur la manière dont les conseillers protègent les données et sur le délai dans lequel ils doivent informer les clients d'un incident suspecté. Une notification plus rapide donne à tous plus de temps pour réagir.

Adoptez une bonne hygiène de comptes. Si vous utilisez un portail pour échanger des documents, utilisez un mot de passe unique et l'authentification multifacteur. Cela n'arrêtera pas une attaque contre les propres systèmes du conseiller, mais cela protège les comptes que vous contrôlez.

Tirez les leçons de cas comparables. Le schéma de pression n'est pas propre à cette inscription. Dans l'affaire ATB impliquant un groupe se faisant appeler DataSuckers, une demande de rançon était assortie d'allégations d'un grand nombre de personnes affectées. Lire comment ces situations se déroulent vous aide à distinguer à quoi ressemble une notification crédible et à quoi ressemble une fanfaronnade non vérifiée.

Ce que cela signifie pour vous

Si vous n'avez aucun lien avec PwC, rien dans cette allégation n'exige d'action aujourd'hui. Si vous travaillez pour le cabinet ou avec lui, ou si votre employeur partage des données avec de grands conseillers, la réponse sensée est de rester informé, d'éviter les suppositions dans un sens comme dans l'autre, et de surveiller les communications officielles. La leçon plus large s'applique à tous : vos données peuvent se trouver chez des organisations que vous n'avez jamais choisies, et le risque dépend en partie du peu que celles-ci en détiennent.

Points clés à retenir

L'allégation d'exposition de données PwC par le rançongiciel Everest reste non vérifiée, sans échantillons publics ni confirmation indépendante au moment de la publication. Elle montre néanmoins pourquoi les conseillers sont des cibles attractives et pourquoi les clients devraient savoir ce qu'ils ont partagé. Comprenez le fonctionnement de la double extorsion, surveillez les notifications d'intrusion de vos conseillers et traitez avec prudence les messages inattendus concernant un incident. Lire notre explication sur la double extorsion et l'affaire ATB est une bonne étape suivante si vous voulez voir comment ces situations ont tendance à se dérouler.