Levi Strauss & Co., el gigante del denim, informó sobre un incidente de ciberseguridad en el que un tercero no autorizado accedió a los sistemas internos de la empresa a través de un ataque de ingeniería social dirigido.

Según un documento regulatorio presentado ante la Comisión de Bolsa y Valores de EE. UU., los atacantes manipularon a tres empleados para que entregaran el acceso a sus ordenadores corporativos, lo que finalmente permitió a los intrusos alcanzar y extraer ciertos archivos corporativos.

Levi Strauss señaló que la parte no autorizada utilizó técnicas de ingeniería social, un método que se basa en la manipulación psicológica en lugar de exploits técnicos, para engañar a los empleados y lograr que concedieran acceso a sus dispositivos.

El fabricante de ropa con sede en San Francisco no ha revelado la táctica exacta utilizada, ya fueran correos electrónicos de phishing, llamadas telefónicas engañosas o suplantación de identidad, pero los informes del sector indican que muchos ataques similares recientes se han basado en el vishing, o llamadas de phishing por voz que suplantan al personal de TI o al personal del servicio de asistencia.

Filtración de Datos de Levi Strauss

Una vez dentro, los atacantes accedieron a archivos de la empresa almacenados en las tres máquinas comprometidas y exfiltraron una parte de esa información corporativa antes de que la intrusión fuera detectada y detenida.

Al descubrir la brecha, Levi Strauss activó sus protocolos de respuesta a incidentes, aisló los sistemas afectados y contrató a expertos en ciberseguridad externos para investigar el alcance del compromiso.

La empresa afirmó que sus medidas de contención rápida terminaron con éxito el acceso no autorizado, y los hallazgos preliminares de la investigación en curso indican que no se vieron afectados los datos de los consumidores.

Levi Strauss también confirmó que el incidente no interrumpió ninguna operación comercial, y la empresa continúa notificando a las partes afectadas y a los reguladores pertinentes de acuerdo con las leyes de protección de datos aplicables.

En su presentación ante la SEC, firmada por el vicepresidente senior y asesor general David Jedrzejek, Levi Strauss afirmó que actualmente no cree que la brecha tenga un efecto material en su estrategia de negocio, condición financiera o resultados operativos.

La empresa, que cuenta con una capitalización de mercado de aproximadamente 9.350 millones de dólares, enfatizó que la investigación sigue activa y que podrían surgir más detalles a medida que avance la indagación.

Levi Strauss se une ahora a una lista creciente de grandes empresas globales afectadas por un aumento de ciberataques impulsados por ingeniería social y campañas de ransomware durante los últimos meses.

Datos revisados por Reuters muestran que actores de amenazas que utilizan demandas de rescate y tácticas de ingeniería social basadas en el teléfono han atacado a docenas de destacadas instituciones financieras y corporaciones estadounidenses en las últimas semanas, con más de 200 empresas atrapadas en estas trampas digitales en solo cinco semanas.

Apenas unos días antes, una cadena de tiendas de lujo holandesa también reveló un ciberataque que afectó a uno de sus proveedores logísticos, subrayando cómo los atacantes están explotando cada vez más la confianza humana en lugar de las vulnerabilidades del software para vulnerar las redes empresariales.

El incidente de Levi Strauss es un recordatorio de que incluso las corporaciones con abundantes recursos siguen siendo vulnerables a tácticas de baja tecnología pero de alto impacto como la ingeniería social.

Los expertos en seguridad siguen insistiendo en que la capacitación en concienciación de los empleados, la autenticación de múltiples factores y los protocolos de verificación estrictos para las solicitudes de soporte de TI son defensas críticas, especialmente a medida que las herramientas de IA hacen que las campañas de suplantación y engaño sean más baratas y convincentes para que los atacantes las ejecuten a escala.