員工培訓平台交由外部管理，出事時企業仍要弄清平台存放了甚麼資料，以及誰負責通報。PwC 證實，一間代管其員工學習紀錄的第三方供應商發生網絡保安事故。勒索組織 Everest 此前聲稱竊得 590GB PwC 資料，並設下數日限期，揚言談判不成便公開資料。PwC 指受影響平台沒有存放客戶資料，但未證實黑客所稱的資料量及內容。
PwC 只確認供應商出事，未證實 590GB 被竊
PwC 在 Everest 發出聲稱翌日確認供應商發生事故。PwC 全球發言人表示，受影響平台沒有存放客戶資料、敏感個人資料或財務資料，事故亦沒有影響 PwC 的網絡及業務運作；發言人又指，公司得悉事件後已即時保護相關環境，並展開全面檢視。
Everest 聲稱取得的資料包括地區人力資源及學習紀錄匯出檔、系統整合文件、軟件元件和 PwC 網上課程，也包括姓名、電郵、電話、地址等個人及受僱紀錄。PwC 發言人拒絕評論被竊資料量及黑客說法的真偽，亦未確認資料是否真的被取走。
Everest 聲稱含客戶資料，與 PwC 說法不一
網絡保安新聞網站 Cybernews 查看 Everest 洩密網站帖文後報道，該組織聲稱取得墨西哥員工身份及稅務號碼、載有約 2,000 個客戶名稱和約 20,000 項委聘的參考清單，以及一個加拿大培訓課程內嵌的 5 項具名客戶委聘資料。Everest 亦聲稱取得原始碼、加密金鑰、存取憑證，以及標明機密的資料交換架構文件。
這些聲稱與 PwC 指平台沒有客戶資料的說法不同，惟 Everest 至今未有公開樣本支持其說法，內容仍未經證實。若課程內嵌真實委聘及聯絡資料的聲稱屬實，學習平台存放的內容便可能比服務名稱所顯示的更廣。
保安分析機構 Rescana 指，今次事件沒有勒索軟件加密或勒索信的證據，與 Everest 近年轉向只竊取資料再勒索的做法相符。網絡保安研究機構 Halcyon 的研究則指，Everest 於 2020 年底出現，曾充當初始存取經紀，向其他犯罪組織提供被盜憑證。
供應商及受影響人數未公開，通報內容成關鍵
截至 10 月 26 日的報道，PwC 仍在調查，尚未公開涉事供應商名稱、受影響員工人數及地區、入侵方法和事件發生時間，亦未說明是否收到勒索要求。供應商一方出事後，企業能否及時掌握受影響員工及資料欄位，可能取決於事前訂明的通報內容與時限。
業界機構 Kroll 的 2026 年數據集顯示，在 2025 年 6 月至 2026 年 6 月處理的外洩事件中，69% 受影響人士是經第三方受影響。另一份 Ncontracts/Venminder 第三方風險管理報告指，49% 機構在 2024 年遇過第三方供應商網絡事故。
盤點外判平台資料，合約寫明通報時限
IT 及資訊保安團隊可把學習平台和人事系統納入資料盤點，確認供應商實際存放哪些欄位、課程內容及整合資料，而非只檢視存有客戶資料的系統。企業亦可縮短資料保留期、隔離租戶、限制匯出和監察整合連接，並要求管理員使用防釣魚多重認證。
合約方面，企業可訂明事故通報時限、調查合作、證據保存責任及分判商規則，也可要求存取審計權、安全刪除和聯合應變演練。員工資料交由外判平台處理，企業仍須考慮自身責任；若學習紀錄外洩，亦可能被用於針對員工的社交工程，保安團隊可預先準備提醒及應對流程。供應商出事時，團隊首先要知道哪些資料受影響，以及何時能取得可靠資訊。
