Levi Strauss & Co. ha rivelato un incidente di cybersecurity in cui un attaccante non identificato ha manipolato tre dipendenti e ottenuto accesso a computer forniti dall’azienda. L’intrusione ha portato al furto di informazioni aziendali, anche se l’azienda di abbigliamento afferma che la sua indagine finora non ha trovato prove che i dati dei clienti siano stati influenzati.
Levi’s ha reso noto la violazione in un deposito presso la U.S. Securities and Exchange Commission. Secondo l’azienda, il suo team di sicurezza è intervenuto abbastanza rapidamente da rimuovere l’accesso non autorizzato prima che l’incidente si trasformasse in un compromesso più ampio.
L’attacco è iniziato con l’ingegneria sociale piuttosto che lo sfruttamento di una vulnerabilità software resa pubblica. Tre dipendenti di Levi’s sono stati presi di mira e gli aggressori hanno successivamente ottenuto accesso non autorizzato ai loro computer di lavoro.
L’indagine preliminare di Levi ha stabilito che le informazioni aziendali conservate nei sistemi interessati sono state accedute ed esfiltrate. L’azienda non ha dettagliato pubblicamente quali specifici file o registri interni siano stati prelevati.
È importante sottolineare che l’indagine non ha trovato prove che informazioni sui consumatori siano state esposte. Levi’s ha inoltre riferito che la violazione non ha interrotto le sue operazioni.
L’indagine rimane attiva, il che significa che la valutazione dell’azienda potrebbe cambiare man mano che prosegue il lavoro forense. Levi’s ha dichiarato che fornirà notifiche alle parti interessate quando necessario.
Sulla base di quanto finora accertato, l’azienda non si aspetta che l’incidente abbia un effetto significativo sulle sue operazioni commerciali o sulla sua situazione finanziaria.
L’attacco dimostra come i dispositivi dei dipendenti possano offrire una via alternativa verso un ambiente aziendale. Invece di dover trovare e sfruttare una vulnerabilità tecnica, gli aggressori che usano l’ingegneria sociale cercano di convincere i dipendenti ad agire che alla fine forniscono accesso non autorizzato.
Non è stato reso pubblico quale metodo sia stato utilizzato contro i tre dipendenti di Levi’s. L’azienda non ha specificato se gli aggressori li abbiano contattati tramite telefono, email, servizi di messaggistica o altro canale. Non ha inoltre divulgato quali informazioni i dipendenti siano stati persuasi a fornire o quali azioni abbiano permesso il compromesso.
Per Levi’s, il danno immediato sembra essere stato limitato alle informazioni aziendali. L’azienda afferma che le informazioni dei consumatori non sono state comprompente, che la sua attività ha continuato a operare normalmente e che gli accessi non autorizzati sono stati interrotti.
L’intera portata della violazione, tuttavia, resta sotto indagine. Levi’s non ha rivelato da quanto tempo gli aggressori hanno avuto accesso ai computer compromessi, quante informazioni sono state rimosse o quali categorie di dati aziendali sono state rubate.
Fino al completamento di tale indagine, la divulgazione della SEC fornisce solo un quadro preliminare dell’incidente. Ciò che attualmente è stabilito è che tre dipendenti sono stati colpiti con successo tramite ingegneria sociale, i computer aziendali sono stati compromessi, e le informazioni aziendali sono state esfilate prima che Levi’s contenesse l’intrusione.