1. Il caso: dalla rivendicazione alla conferma aziendale
Il 23 ottobre 2026, PwC ha confermato a Reuters di essere a conoscenza di un incidente informatico che riguarda un fornitore esterno utilizzato per ospitare registrazioni relative alla formazione dei dipendenti.
La dichiarazione è arrivata il giorno successivo alla rivendicazione del gruppo criminale Everest, che sostiene di aver sottratto circa 590 GB di informazioni riconducibili alla società.
Si tratta di due elementi distinti.
PwC conferma l'esistenza dell'incidente presso un fornitore, ma non conferma il volume dei dati rivendicato, l'autenticità del materiale né la responsabilità tecnica di Everest.
Questa distinzione è essenziale per comprendere la reale portata della vicenda.
2. Che cosa ha dichiarato PwC
Secondo quanto riportato da Reuters, un portavoce globale di PwC ha precisato che il sistema interessato non ospita dati dei clienti, informazioni personali sensibili o dati finanziari.
La società ha inoltre dichiarato di essersi attivata tempestivamente per proteggere l'ambiente coinvolto e condurre verifiche approfondite.
PwC sostiene che l'incidente non abbia interessato la propria rete né compromesso la continuità delle attività operative.
Il portavoce non ha invece confermato la quantità di dati eventualmente sottratti e non ha validato le dichiarazioni del gruppo Everest.
La società non ha identificato pubblicamente il fornitore interessato nella dichiarazione riportata da Reuters.
3. La rivendicazione Everest: 590 GB e oltre 108.000 file
Secondo le ricostruzioni CTI pubblicate tra il 22 e il 23 ottobre, Everest avrebbe inserito PwC nel proprio Data Leak Site, utilizzato per pubblicare rivendicazioni ed esercitare pressione sulle organizzazioni coinvolte.
La piattaforma eCrime.ch è citata da Reuters come fonte del rilevamento della rivendicazione del 22 ottobre.
Le informazioni attribuite al gruppo comprendono:
- Circa 590,69 GB di dati.
- 108.426 file distribuiti in 494 directory.
- Documentazione HR e registrazioni formative.
- Materiali di integrazione e manutenzione applicativa.
- Componenti software e riferimenti a configurazioni Single Sign-On.
- Un insieme di dati HR descritto come contenente 213.084 record.
Le segnalazioni menzionano inoltre attività riconducibili ad Australia, Cina, Canada e Regno Unito.
Questi numeri rappresentano il contenuto dichiarato della rivendicazione, non un inventario forense autenticato.
In particolare, 213.084 record non significano necessariamente 213.084 persone coinvolte. Non è noto quanti dati siano autentici, aggiornati, duplicati o effettivamente accessibili agli attaccanti.
La schermata attribuita al portale del gruppo criminale Everest, riprodotta e documentata da Cyber Security News, evidenzia il meccanismo di estorsione mediante minaccia di pubblicazione dei dati. Nella parte superiore della pagina compare un conto alla rovescia attivo (indicante circa cinque giorni e dodici ore al momento della cattura visiva), accompagnato dal messaggio esplicito secondo cui i file verrebbero resi pubblici allo scadere del timer qualora l'azienda non stabilisca un contatto.
Nel dettaglio descrittivo della pubblicazione, gli attaccanti dichiarano inoltre la presenza di 1.333 archivi originali e 53 archivi annidati (per un totale rivendicato di 1.386 contenitori e 19.324 file interni agli archivi), affiancati dal riferimento testuale a pwc-stg.csod.com. La presenza di un timer a scalare e di conteggi archivistici fa parte della strategia di pressione estorsiva: attesta la pubblicazione della scheda sul Data Leak Site, ma non costituisce prova forense dell'effettiva esfiltrazione né dell'autenticità dei contenuti.
4. Il riferimento tecnico a Cornerstone OnDemand
Un elemento che merita attenzione è la presenza, nelle schermate attribuite alla rivendicazione, della denominazione:
pwc-stg.csod.com
Il dominio csod.com è associato a Cornerstone OnDemand, piattaforma utilizzata per la formazione e la gestione dei talenti.
Il riferimento è coerente con la natura del servizio descritto da PwC, ma non dimostra che Cornerstone sia il fornitore compromesso.
Nessuna conferma ufficiale su Cornerstone OnDemand: la comparsa di un identificativo di staging (pwc-stg.csod.com) nelle schermate diffuse dal gruppo criminale non certifica affatto una violazione dell'infrastruttura centrale di Cornerstone OnDemand. PwC non ha confermato pubblicamente l'identità del fornitore. Alla data della presente analisi non abbiamo acquisito comunicazioni ufficiali di Cornerstone che confermino un coinvolgimento nell'incidente. Eventuali scenari relativi a credenziali d'accesso compromesse, export locali, archivi di backup o tenant di test isolati rimangono mere ipotesi tecniche, non ricostruzioni dell'accaduto.
Non consente neppure di stabilire se l'eventuale accesso non autorizzato abbia interessato un ambiente produttivo, un sistema di staging, un archivio esportato o un'integrazione applicativa.
L'identificazione del fornitore e del percorso di compromissione richiederebbe evidenze tecniche ulteriori o dichiarazioni ufficiali.
5. Il problema delle identità e delle integrazioni SaaS
L'aspetto più interessante della vicenda non riguarda soltanto il volume dei dati rivendicati.
Un sistema destinato alla formazione dei dipendenti può contenere informazioni organizzative, registrazioni storiche, strutture aziendali e documentazione necessaria al funzionamento delle integrazioni.
In determinate architetture, questi ambienti possono interagire con sistemi di gestione delle identità, servizi Single Sign-On, API e procedure automatizzate di provisioning.
La presenza dichiarata di documentazione tecnica e riferimenti SSO pone quindi alcune domande:
- Le integrazioni applicative sono adeguatamente segregate?
- I privilegi concessi ai fornitori sono limitati allo stretto necessario?
- Le credenziali e i token utilizzati dai servizi sono gestiti e ruotati correttamente?
- L'organizzazione dispone di registrazioni sufficienti per ricostruire eventuali accessi anomali?
Non esistono, al momento, prove pubbliche che credenziali utilizzabili siano state sottratte nel caso PwC. Questi interrogativi rappresentano una valutazione del rischio, non una descrizione del vettore d'attacco.
6. Un incidente presso un fornitore non equivale alla compromissione della rete principale
La distinzione tra sistemi aziendali e ambienti esterni è fondamentale.
Un incidente che riguarda un fornitore può comportare rischi per riservatezza, disponibilità e integrità delle informazioni affidate a quel soggetto, anche senza un'intrusione nella rete principale del cliente.
Nel caso PwC, la società ha dichiarato che la propria rete e le attività operative non sono state interessate.
Non abbiamo elementi pubblici sufficienti per stabilire se vi sia stata una compromissione di account, un'esposizione di archivi, un accesso abusivo a un'applicazione o un'altra modalità di incidente.
Non è stata inoltre dimostrata la cifratura dei sistemi. Per questo, definire l'episodio un attacco ransomware con cifratura confermata sarebbe improprio.
La categoria più prudente è incidente informatico confermato presso un fornitore, associato a una rivendicazione di sottrazione dati non verificata.
7. Cronologia degli eventi
| Data | Evento | Stato |
|---|---|---|
| 22 ottobre 2026 | Everest pubblica una rivendicazione relativa a PwC, secondo eCrime.ch e fonti CTI | Rivendicazione riportata |
| 22-23 ottobre | Ricercatori e testate specializzate diffondono dettagli e immagini attribuiti alla pubblicazione | Evidenza indiretta |
| 23 ottobre | PwC conferma a Reuters un incidente presso un fornitore esterno | Confermato |
| 23 ottobre | PwC dichiara che rete e operazioni non risultano interessate | Dichiarazione aziendale |
| 24 ottobre, ore 08:30 | Stato delle informazioni considerate in questa analisi | Verifica parziale |
La data della rivendicazione non coincide necessariamente con quella dell'accesso non autorizzato, che rimane sconosciuta.
8. Quali controlli dovrebbero essere verificati
Indipendentemente dall'esito dell'indagine PwC, il caso suggerisce alcune verifiche utili per le organizzazioni che utilizzano piattaforme SaaS e fornitori esterni.
Governance dei fornitori. Conoscere quali dati sono affidati a ciascun servizio, dove vengono trattati, chi può accedervi e quali obblighi di comunicazione degli incidenti sono previsti contrattualmente.
Identità e privilegi. Verificare Single Sign-On, account amministrativi, account di servizio, token API e applicazione del principio del minimo privilegio.
Segregazione degli ambienti. Distinguere ambienti produttivi, di sviluppo e di staging, evitando che configurazioni o esportazioni amplino inutilmente l'esposizione dei dati.
Logging e tracciabilità. Conservare evidenze degli accessi e delle esportazioni, verificando che siano disponibili anche in caso di incidente presso il fornitore.
Gestione degli incidenti di terze parti. Stabilire in anticipo chi deve comunicare l'evento, quali evidenze devono essere fornite e come valutare l'impatto sui dati aziendali.
Questi controlli non implicano che uno di essi sia mancato nel caso PwC: rappresentano misure generali di resilienza per la supply chain digitale.
9. Valutazione delle evidenze: MC Project Lab
| Elemento | Classificazione |
|---|---|
| Incidente presso il fornitore | CONFERMATO da PwC |
| Assenza di impatto sulla rete principale | DICHIARATO da PwC |
| Pubblicazione della rivendicazione Everest | RIPORTATA da fonti CTI e Reuters |
| Sottrazione di 590 GB | NON VERIFICATA |
| Autenticità dei 108.426 file | NON VERIFICATA |
| Compromissione di Cornerstone OnDemand | NON DIMOSTRATA |
| Esposizione di credenziali SSO | NON ACCERTATA |
| Vettore iniziale e vulnerabilità sfruttate | SCONOSCIUTI |
| Cifratura di sistemi | NON DIMOSTRATA |
Priorità di monitoraggio: ALTA.
La priorità deriva dalla rilevanza dell'organizzazione, dal coinvolgimento di un servizio esterno e dalla natura dei dati rivendicati. Non costituisce una valutazione quantitativa dell'impatto effettivamente subito.
10. Conclusioni
Il caso PwC-Everest dimostra quanto sia importante distinguere un incidente confermato da una rivendicazione criminale.
La dichiarazione di PwC costituisce un elemento significativo: esiste un incidente presso un fornitore esterno utilizzato per la gestione delle registrazioni formative.
Restano invece da accertare il contenuto e il volume delle informazioni eventualmente sottratte, il vettore iniziale, il ruolo tecnico di Everest e l'identità del fornitore.
Per MC Project Lab, il tema centrale è più ampio del singolo episodio.
La sicurezza di un'organizzazione dipende anche dalla capacità di conoscere, controllare e verificare i servizi esterni ai quali affida dati e processi.
La supply chain digitale non è soltanto una relazione contrattuale: è parte integrante della superficie di rischio aziendale.
Fonti e riferimenti
Fonte principale: conferma aziendale
Reuters, AJ Vicens, 23 ottobre 2026:
https://www.reuters.com/legal/litigation/pwc-confirms-cybersecurity-incident-involving-employee-learning-records-2026-10-23/
Monitoraggio della rivendicazione
eCrime.ch:
https://ecrime.ch/
Ricostruzioni CTI e materiale visivo attribuito alla rivendicazione
Cyber Security News (analisi tecnica ed evidenze visive della struttura file/directory):
https://cybersecuritynews.com/pwc-data-breach-claim/
GBHackers (schermate pubblicate dalla testata e attribuite al portale Everest con rivendicazione dei 590 GB e dettaglio dei 213.084 record):
https://gbhackers.com/pwc-allegedly-hit-by-everest-ransomware/
Nota metodologica: l'articolo è un'analisi indipendente di informazioni pubbliche. Non sono stati effettuati accessi a sistemi PwC o del fornitore, analisi forensi, download di dati sottratti o test di sicurezza relativi all'incidente. Le fonti che riprendono la stessa rivendicazione non sono considerate conferme indipendenti dell'esfiltrazione.
Vedere oltre. Comprendere a fondo. Rendere possibile.