PwC reconnaît une cyberattaque chez le prestataire qui gère les formations de ses salariés

Le 22 octobre, le groupe d'extorsion Everest a ajouté PwC, l'un des quatre grands cabinets mondiaux d'audit et de conseil, à la liste des victimes affichée sur son site. Le message était accompagné d'un compte à rebours de cinq jours et d'une menace : publier les données si aucun accord n'est trouvé.

Le lendemain, vendredi 23 octobre, PwC a reconnu auprès de l'agence Reuters avoir connaissance d'un incident de cybersécurité chez un prestataire qui héberge les dossiers de formation de ses salariés. Selon un porte-parole mondial du cabinet, le site touché ne contient « ni données de clients, ni données personnelles sensibles, ni informations financières ». PwC affirme que ni son réseau ni ses activités ne sont touchés, et dit avoir agi rapidement pour sécuriser l'environnement concerné et mener un examen approfondi.

Ce que contiendraient les fichiers

Everest dit avoir dérobé 590 Go de données. D'après sa revendication, rapportée par Reuters, l'ensemble comprendrait des exports régionaux des ressources humaines et de la formation, de la documentation technique d'intégration, des composants logiciels et des cours en ligne de PwC. Le groupe affirme qu'on y trouve des noms, adresses e-mail, numéros de téléphone, adresses et parcours professionnels.

Rien de tout cela n'est confirmé. Le porte-parole de PwC a refusé de commenter le volume avancé comme l'exactitude des affirmations du groupe. PwC n'a précisé ni le nom du prestataire, ni le nombre de salariés concernés, ni les pays touchés, ni la manière dont les pirates sont entrés. Selon Cybersecurity News, une capture de la revendication fait référence à la plateforme Cornerstone OnDemand, et l'alerte de Hackmanac évoque des données liées à l'Australie, à la Chine, au Canada et au Royaume-Uni.

Le prestataire, maillon faible récurrent

Le schéma devient familier : l'entreprise visée n'est pas piratée elle-même, mais l'un de ses fournisseurs l'est. C'est ce qui est arrivé cet automne à Malakoff Humanis, dont un prestataire avait été attaqué en août.

Une plateforme de formation paraît anodine. Elle contient pourtant souvent l'annuaire de l'entreprise : noms, fonctions, services, responsables hiérarchiques, adresses de contact. Pour préparer un hameçonnage ciblé, c'est une base de travail précieuse, même sans aucune donnée de client.

Les bons réflexes

Pour les salariés d'un cabinet ou d'une entreprise dont un fournisseur est touché, la prudence s'impose face aux messages qui évoquent une formation à terminer, une attestation à télécharger ou une mise à jour du dossier RH. Le contexte crédible est précisément ce qu'un attaquant cherche à exploiter.

Pour les entreprises, l'incident invite à revoir l'inventaire des services en ligne qui détiennent des données de salariés, pas seulement ceux qui détiennent des données de clients. Il faut savoir quelles informations chacun stocke, depuis quand, et ce que prévoit le contrat en cas d'incident.

Reste une échéance : la fin du compte à rebours affiché par Everest. Une publication des fichiers permettrait de juger enfin de l'écart entre la revendication et la version de PwC.