疑普华永道遭遇勒索：威胁公开590GB\"数据库\"

原创

网空闲话
网空闲话

网空闲话plus

2026年10月23日 08:17
北京
标题已修改

去阅读

勒索组织EverestGroup在其Tor泄密站上为普华永道（PwC）挂出倒计时——约05天13小时56分，威胁届时公开声称的\"pwc.com 590 GB DataBase\"。页面显示该条目已被访问106次。这是典型的\"最后通牒\"式施压。但细看勒索者自己贴出的数据说明便会发现：所谓\"590GB数据库\"，主体是一个Cornerstone OnDemand学习管理平台的staging（测试）环境目录，其中充斥着重复快照、测试数据、伪造邮箱和空转日志。事件真实性有迹可循，但\"规模叙事\"明显注水。

一、勒索现场：倒计时话术与一个常态化运营的泄密站

EverestGroup的Tor页面为PwC条目设置了倒计时，并留下明确话术：\"The files will be published after the timer counts down. The company still has time to get in touch with us.\"（倒计时结束后文件将被公开，公司仍有时间与我们联系。）当前处于\"接触谈判\"阶段，数据尚未公开。

值得注意的是，该页面并非PwC专属。同页列有60余个受害者条目，包括昨日更新的PLD Group、Taekwang Network、Chugoku Bend，以及Securitas、Kingston Technology、Fiserv、Capgemini Engineering、Keysight等知名企业，最早条目可追溯至今年7月。这说明PwC遭遇的是一条常态化、流水线化的勒索产业链，PwC条目仅因品牌敏感性与数据体量受到更高关注。

勒索者将数据概括为\"pwc.com 590 GB DataBase\"，并声称涵盖\"区域人力资源与学习导出、集成文档、软件组件及PwC电子学习课程\"。

二、数据到底是什么：一个LMS staging目录，而非\"客户数据库\"

数据自述的根路径为 D:\pwc-stg.csod.com\\_——\"stg\"即staging（测试/预发布）实例，这一定性贯穿全部材料：

总量：590.69GB，108,426个文件、494个目录；含1,386个归档容器（1,333个原始+53个嵌套），容器内19,324个文件。

体积构成：CSV文件即占533.89GB（34,035个）；Excel 28.83GB；TXT 22.23GB。区域分布高度集中：丹麦一国456.75GB（约占总量77%），新加坡65.49GB，卢森堡38.42GB。

重复快照机制：大量体积来自同一数据集的每日导出快照。卢森堡主Transcript系列416个完整CSV累计1.167亿行，仅对应4,248个User ID；新加坡General Information系列1.447亿行对应7,906个User ID；丹麦Flow 5系列4.31亿行对应41.2万个User ID。\"行数\"是导出行数，远不等于人数。

不可读部分：6,863个OpenPGP加密文件（PGP 6,831个+GPG 32个，共约202MB）分属三个不同RSA接收方，无对应私钥无法解开。

尤为关键的是，勒索者自己的说明也承认：该文件夹\"不是单一的PwC客户数据库，也不代表一个软件产品\"。以\"590GB数据库\"概括，属于典型的营销式包装。

三、敏感内容确实存在：HR个人数据与集成安全材料并存

抛开注水部分，数据中确含真实敏感信息：

HR与个人数据。User导出213,084行，含姓名、邮箱（212,443行）、电话（170,386行）、地址（197,921行）、经理ID（199,666行）、入职日期（211,215行，其中2026年日期11,451个）；199,091行含pwc.com邮箱。Instructor导出318,933行。TASC学生表Live版1,217,946行，状态字段含产假、停薪留职、长期病假。丹麦报告甚至含\"Deceased（已故）\"状态。墨西哥文件含区域身份标识：去重后Student ID 20,837个，CURP 3,221个、RFC 3,215个，并伴随IMSS、INFONAVIT社保号。英国Student导出91,102条、162个字段，其中63,177条为\"已离职\"状态。外部培训记录含费用、PwC承担金额与是否需偿还条款。

技术与集成材料。三份标有\"CONFIDENTIAL © Cornerstone OnDemand, Inc. 2014\"的集成规范（ESS v28、NGL v30/v31，合计86张表）；SSO包含C#与Java单点登录源码及AES加密参数；Vantage前端JavaScript与HTML模板；ESS考勤Pin Codes；以及一份涉及77,246个User GUID的Vantage GDPR用户删除清单。

客户信息碎片。Issues\_Tracker.xlsx缓存39,938个非空单元格，含2,019个客户值、约2万条engagement值、1.77万个资源值——但材料明确行号之间不构成关联；加拿大课程截图嵌有5个engagement行（CPSA、Weir Minerals Canada、DHL Express、SS&C (Canada)、Surteco Group）及联系人字段。这些是培训材料中的片段，不等于客户项目数据库。

四、\"降噪\"证据：数据自述中的五处\"注水自证\"

测试数据：TASC Stage版1,468,810行中

1,464,318行使用fakemail.com；阿根廷2025年注册表402,882行中402,774行为fakemail；Polaris 2026年批次32,447行逐行标注\"This is a test\"。

空转日志：Vantage 2026年7-8月共29份执行日志，配置检查与调用全部\"成功\"，但读取、更新、错误记录均为0。

陈旧材料：Vantage前端包为2017年12月版本（界面16.2.2.21）；大量QA与加载日志集中于2015-2018年。

截断与元数据不符：卢森堡某文件自称274,544行，实际仅存249,736行（缺24,808行）；阿根廷6个文件实际行数与元数据声明不符。

重复累计：丹麦\"Timer på uddannelse\"系列中，同一学习时段被重复累计——表面4,535万分钟，去重后仅1,577万分钟。

五、真实性核验：能证实什么，不能证实什么

支持\"攻击者确实接触过PwC真实内部系统\"的信号（中等强度）：

内部化细节难以编造：区域schema差异高度真实——墨西哥CURP/RFC/IMSS/INFONAVIT、荷兰ESS Pin Codes与成本参数、中国/香港中文字段、加拿大CA专属字段；三份带CONFIDENTIAL标记的Cornerstone规范与SSO源码，均非外部可得。

时间新鲜度：User存档含2026年入职日期、存档时间戳为2026-08-04；荷兰目录与课程表为2026年4月版本；英国CTS交换文件日期为2025年10月24-31日；徽章分享分析为2025年8月。若为伪造，做到这种新鲜度成本极高。

元数据自洽：超过4万次相邻快照对比、行组成变化追踪、截断文件的元数据不符——均符合真实批量导出的特征，而非凭空编造。

不能证实、必须存疑的部分：无样本可独立验证。截至发稿，文件未公开，一切数字均为勒索方单方陈述。倒计时归零后公布的样本才是第一份可独立核验的证据。

体积≠价值。77%体积来自丹麦的重复快照，叠加测试数据后，独特的、可直接利用的个人信息规模远小于590GB的暗示——以User ID去重衡量，卢森堡4,248人、新加坡7,906人才是样本级数字。

staging属性：数据源自测试环境，意味着\"真实接触到系统\"不等于\"泄露了590GB生产数据\"，其中历史快照与生产导出混合，时间跨度从2015至2026年。

文本本身存疑：这份长达28节、尽调报告式的数据说明异常精细，更像出自专业分析团队之手，提示数据可能经第三方分析甚至转手，原始性与完整性无法确认。

结论：现有披露信息支持\"攻击者确实接触过PwC真实内部系统\"的判断，但不支持\"590GB=大规模生产数据泄露\"的强叙事。事件严重性的最终答案，取决于倒计时归零后公布的样本。

六、影响研判与观察窗口

隐私与合规：若验证为真，员工与前员工的姓名、联系方式、经理、职位、雇佣状态、缺勤原因、培训成绩等组合，可被用于钓鱼与身份欺诈；横跨欧盟、英国、亚太、拉美多法域，触发数据保护与泄露通知义务的压力将显著上升。

安全影响：SSO加密参数、集成架构、考勤Pin Codes若仍部分有效，可为社会工程与系统探测提供线索——但需注意多数配置为2017-2019年历史版本，实际可利用性存疑。

声誉风险：客户名单缓存与课程截图中的客户信息碎片，极易被媒体放大解读，引发客户对保密管理的质疑。

观察节点：倒计时归零（约5天13小时后）是第一关键窗口——勒索者可能公开全部或部分文件，也可能以\"已接触\"为由延期或下架。若公开，应遵循\"样本验证三步法\"：先区分生产数据、历史快照与测试数据，再按User ID去重估算真实人群规模，最后评估通知与监管义务。若未公开，也不等于风险解除——勒索者可能转入私下谈判或二次施压。

参考来源：http://everestndkvzcibcje2cqxhre2hmmybl3rn2gwzwsblz7gx6uryn5rad.onion/news/pwc