Internationaal adviesbureau PwC heeft een cyberincident bevestigd bij een externe dienstverlener die opleidingsgegevens van medewerkers opslaat. De bekendmaking volgt op claims van hackersgroep Everest, die beweert honderden gigabytes aan bedrijfsgegevens te hebben gestolen.
De hackersgroep, die zich bezighoudt met digitale afpersing, eiste op 22 oktober de verantwoordelijkheid voor de aanval op en beweerde 590 GB aan gegevens van PwC te hebben buitgemaakt.
Volgens de hackers bevatten de gestolen gegevens onder meer opleidingsgegevens van medewerkers, interne documenten en persoonsgegevens zoals namen, e-mailadressen, telefoonnummers en arbeidsverleden.
De groep publiceerde de claims op een website die wordt gebruikt om slachtoffers onder druk te zetten om losgeld te betalen. Ook plaatsten de hackers een aftelklok, waarmee ze dreigen de vermeend gestolen gegevens openbaar te maken als er geen overeenkomst wordt bereikt.
PwC bevestigde dat een systeem van een externe dienstverlener was getroffen, maar benadrukte dat de getroffen dienst geen klantgegevens, gevoelige persoonsgegevens of financiële gegevens bevatte. Het bedrijf verklaarde daarnaast dat zijn eigen netwerk en bedrijfsactiviteiten niet waren getroffen. PwC heeft direct maatregelen genomen om het getroffen systeem te beveiligen en is een onderzoek gestart.
Het adviesbureau heeft niet bevestigd hoeveel gegevens er eventueel zijn gestolen en wil de beweringen van de hackers niet bevestigen.
De volledige omvang van het incident blijft onduidelijk zolang het onderzoek loopt.
Cyberaanvallen via externe dienstverleners komen steeds vaker voor. Bedrijven kunnen zelf alle nodige beveiligingsmaatregelen treffen, terwijl hun partners mogelijk minder goed beveiligd zijn. De afgelopen tijd zagen we vergelijkbare problemen bij grote bedrijven zoals Bol, de Bijenkorf en ING, die werden getroffen door de hack bij CEVA Logistics, en bij de Microsoft SharePoint-hack.
De hackers- en afpersingsgroep Everest is momenteel een van de actievere cybercriminele organisaties. Onlangs claimde de groep ook verantwoordelijk te zijn voor de hacks bij onder meer ASUS, Iberia en Under Armour.
