Levi Strauss & Co. hat einen Cybersicherheitsvorfall offengelegt, bei dem ein unbekannter Angreifer drei Mitarbeiter manipulierte und Zugang zu firmeneigenen Computern erhielt. Der Einbruch führte dazu, dass Unternehmensdaten gestohlen wurden, obwohl das Bekleidungsunternehmen angibt, dass seine Untersuchung bisher keine Hinweise auf Kundendaten gefunden hat.
Levi’s hat den Vorstoß in einer Einreichung bei der US-Börsenaufsichtsbehörde (U.S. Securities and Exchange Commission) offengelegt. Laut dem Unternehmen reagierte das Sicherheitsteam schnell genug, um den unbefugten Zugriff zu entfernen, bevor der Vorfall zu einem umfassenderen Kompromittement wurde.
Der Angriff begann mit Social Engineering und nicht mit der Ausnutzung einer öffentlich offengelegten Softwareschwachstelle. Drei Mitarbeiter von Levi’s wurden ins Visier genommen, und die Angreifer erhielten anschließend unbefugten Zugang zu ihren Arbeitscomputern.
Levis vorläufige Untersuchung ergab, dass Unternehmensinformationen, die auf den betroffenen Systemen gespeichert waren, abgerufen und exfiltriert wurden. Das Unternehmen hat nicht öffentlich dargelegt, welche spezifischen internen Dateien oder Unterlagen entbeutet wurden.
Wichtig ist, dass die Untersuchung keine Beweise dafür gefunden hat, dass Verbraucherinformationen offengelegt wurden. Levi’s berichtete außerdem, dass der Einbruch den Betrieb nicht unterbrach.
Die Untersuchung ist weiterhin aktiv, was bedeutet, dass sich die Einschätzung des Unternehmens im weiteren Verlauf der forensischen Arbeiten ändern könnte. Levi’s erklärte, dass es den betroffenen Parteien Benachrichtigungen geben wird, wenn dies erforderlich ist.
Basierend auf den bisherigen Feststellungen erwartet das Unternehmen nicht, dass der Vorfall wesentliche Auswirkungen auf seine Geschäftstätigkeit oder finanzielle Lage haben wird.
Der Angriff zeigt, wie Mitarbeitergeräte einen alternativen Zugang zu einer Unternehmensumgebung bieten können. Anstatt eine technische Schwachstelle zu finden und auszunutzen, versuchen Angreifer mit Social Engineering, Mitarbeiter zu Handlungen zu bewegen, die letztlich unbefugten Zugriff ermöglichen.
Welche Methode genau gegen die drei Levi’s-Mitarbeiter angewandt wurde, wurde nicht öffentlich bekanntgegeben. Das Unternehmen hat nicht gesagt, ob die Angreifer sie telefonisch, per E-Mail, Nachrichtendiensten oder einem anderen Kanal kontaktiert haben. Es wurde auch nicht offengelegt, welche Informationen die Mitarbeiter zur Verfügung gestellt wurden oder welche Maßnahmen den Kompromiss ermöglichten.
Für Levi’s scheint der unmittelbare Schaden auf Unternehmensinformationen beschränkt zu sein. Das Unternehmen erklärt, dass die Verbraucherinformationen nicht betroffen waren, das Geschäft normal weiterlief und der unbefugte Zugriff beendet wurde.
Das volle Ausmaß des Verstoßes wird jedoch weiterhin untersucht. Levi’s hat nicht bekannt gegeben, wie lange die Angreifer Zugang zu den kompromittierten Computern hatten, wie viele Informationen entfernt wurden oder welche Kategorien von Unternehmensdaten gestohlen wurden.
Bis diese Untersuchung abgeschlossen ist, liefert die SEC-Offenlegung nur ein vorläufiges Bild des Vorfalls. Derzeit ist festgestellt, dass drei Mitarbeiter erfolgreich durch Social Engineering ins Visier genommen wurden, Firmencomputer kompromittiert wurden und Unternehmensinformationen exfiltriert wurden, bevor Levi’s den Einbruch eindämmte.