1. De Everest ransomware-groep claimt 590.69 GB aan gegevens te hebben gestolen die gelinkt zijn aan PwC. De claim is niet geverifieerd. Deze geclaimde buit omvat personeelsdossiers, trainingsbestanden en interne documenten.
2. De groep werd op 22 oktober 2026 gemeld op de lijst van Hackmanac en CTIWatch. Op die dag verscheen PwC op de leak-site van Everest.
3. Hackmanac's publieke waarschuwing beschreef 108.426 bestanden die naar verluidt waren meegenomen uit interne HR- en leersystemen. De genoemde lijst noemt een map, pwc-stg.csod.com, en beschrijft materialen van het Cornerstone OnDemand platform, regionale HR-exports, e-learning cursussen en integratietestdocumenten. Er worden 494 mappen genoemd, naast 1.333 originele archiefcontainers en 53 geneste containers.
4. Hackmanac meldde dat de geclaimde gegevens PwC-activiteiten in Australië, China, Canada en het Verenigd Koninkrijk omvatten.
5. Eén HR-dataset bevat naar verluidt 213.084 records. De alert vermeldt ook werknemersinformatie, werk- en trainingsgegevens, interne auditmethoden, vertrouwelijke documenten, en broncode en configuratiebestanden voor single sign-on.
6. Er is een dreiging met publicatie na een aftelling en een verzoek tot contact. Een gerapporteerde deadline van 28 oktober voor publicatie is niet onafhankelijk bevestigd.
7. Er is geen losgeldbedrag, initiële toegangsmethode of bewijs van versleutelde PwC-systemen vastgesteld.
8. Gedetailleerde werknemersgegevens zouden kunnen helpen bij het maken van overtuigende phishingberichten of het imiteren van personeel.
9. Everest heeft in het verleden eerder gegevensdiefstalclaims gebruikt om organisaties onder druk te zetten, waaronder een vermeende McDonald's India-inbreuk. De geschiedenis van Everest omvat zowel gegevensafpersing als bestandsversleuteling.
10. Een technische analyse van Everest ransomware vond geen functie voor gegevensdiefstal in een onderzocht encryptor. Onderzoekers merkten op dat diefstal eerder kon plaatsvinden met aparte tools.
11. Centrale vragen blijven de authenticiteit van de gegevens, het eigendom, de omvang van de toegang en of de gegevens actueel zijn.
12. Defensies tegen nieuwe malware moeten worden bijgewerkt zodra deze verschijnt. TI Feeds kunnen worden geïntegreerd met gegevens van 16.000 SOC's.