Grupo Everest diz ter roubado 590GB de dados da PwC; empresa reconhece violação

A PwC confirmou um incidente de segurança ligado a um fornecedor terceirizado que presta serviços de armazenamento de registros de treinamento de funcionários. A confirmação veio um dia depois de o grupo de extorsão Everest dizer ter roubado 590 GB de dados da empresa. Segundo a eCrime.ch, o grupo publicou a reivindicação em seu site em 22 de outubro de 2026, com uma contagem regressiva de cinco dias e a ameaça de divulgar o material caso não houvesse acordo.

O Everest afirma que o pacote inclui exportações de dados de RH e de treinamento regionais, documentação de integração, componentes de software e materiais de eLearning. Também cita dados individuais, como nomes, histórico profissional, e-mails, telefones e endereços residenciais. A PwC diz que o site afetado não guardava dados de clientes, dados pessoais sensíveis nem informações financeiras, e que rede e operações não foram impactadas. A empresa se recusou a comentar o volume e a veracidade das alegações, então os 590 GB não foram confirmados de forma independente.

O caso segue um padrão que o CEVIU já registrou em 2026: a empresa confirma a violação, mas minimiza o escopo. Em 16 de abril de 2026, na matéria "McGraw-Hill Confirma Violação de Dados Após Ameaça de Extorsão", a empresa falou em dados limitados e não sensíveis. Em 24 de fevereiro de 2026, o CEVIU noticiou que atuantes do Everest acessaram dados da Vikor Scientific via o fornecedor Catalyst RCM, também um caso de terceiro como porta de entrada. São episódios distintos, sem relação comprovada com o da PwC.

Para quem cuida de risco de terceiros, o recado é prático: fornecedores de armazenamento de dados aparentemente periféricos, como treinamento e RH, entram no radar de grupos de extorsão. Mesmo sem dados de clientes, informações de contato e endereços residenciais de funcionários servem a phishing direcionado. Vale tratar a versão da empresa e a do atacante como alegações até haver confirmação.