Falha em fornecedor expõe registros de treinamento da PwC

A PwC confirmou na sexta-feira (23) um incidente de segurança digital em um fornecedor terceirizado usado para hospedar registros de treinamento de funcionários. A consultoria afirmou que protegeu o ambiente e iniciou uma revisão depois de tomar conhecimento da ocorrência.

A confirmação foi publicada pela Reuters e reproduzida pelo InfoMoney neste sábado (24). Segundo um porta-voz global da PwC, o site afetado não armazenava dados de clientes, informações financeiras nem dados pessoais classificados pela companhia como sensíveis; a empresa também declarou que sua rede e suas operações não sofreram impacto.

O caso ganhou visibilidade depois que o grupo de extorsão digital Everest alegou ter obtido 590 gigabytes de arquivos. A PwC não confirmou o volume, o conteúdo atribuído ao grupo nem a veracidade da invasão reivindicada. Essa distinção mantém separadas a ocorrência reconhecida e as alegações ainda não verificadas do suposto invasor.

Incidente fica fora da rede

De acordo com a empresa, o ambiente atingido era mantido por um prestador e concentrava registros de aprendizagem corporativa. A resposta inicial envolveu a contenção do local e uma análise detalhada. Até a manifestação pública, não havia indicação de interrupção nos serviços oferecidos pela consultoria.

A declaração reduz o perímetro confirmado, mas não encerra a apuração. Sistemas de treinamento podem reunir nomes, contatos, vínculos profissionais, histórico de cursos e integrações com outras ferramentas. A presença de cada tipo de dado, a quantidade de pessoas afetadas e o período de exposição ainda dependem da investigação técnica.

O episódio também mostra o risco associado à cadeia de fornecedores. Mesmo quando a infraestrutura central de uma empresa permanece operacional, aplicações externas podem guardar informações de trabalho e criar uma rota indireta para incidentes. Inventário de dados, controle de acesso, segmentação e exigências contratuais de resposta são medidas decisivas nesse cenário.

A PwC disse ter agido assim que soube do problema. A empresa não informou qual fornecedor hospedava os registros, quando o acesso indevido teria começado ou se notificações individuais seriam necessárias. Essas respostas dependem da confirmação do material afetado e das regras aplicáveis em cada país.

Extorsão ainda depende de prova

O Everest publicou a reivindicação em 22 de outubro, segundo a plataforma de pesquisa sobre crimes digitais eCrime.ch. A mensagem exibia uma contagem regressiva de cinco dias e ameaçava divulgar os arquivos caso não houvesse acordo. O grupo afirmou possuir exportações de recursos humanos e aprendizagem, documentos de integração, componentes de software e cursos eletrônicos.

Essas descrições partem do próprio grupo e não funcionam como comprovação independente. A Reuters registrou que o porta-voz da PwC recusou comentar a quantidade supostamente extraída e a autenticidade das alegações. Até que amostras sejam verificadas ou a investigação produza evidências, o número de 590 gigabytes deve permanecer tratado como reivindicação.

Para funcionários, a orientação prática é acompanhar comunicações oficiais e desconfiar de mensagens que usem o episódio para pedir credenciais, pagamentos ou atualização urgente de dados. Para a empresa, a prioridade é determinar o alcance real, preservar evidências e informar os afetados e as autoridades competentes se a análise confirmar exposição sujeita a notificação.