Ataque de ingeniería social contra Levi Strauss: comprometidos los equipos de tres empleados

Acceso a sistemas corporativos y posible exfiltración

Levi Strauss & Co. informó a la U.S. Securities and Exchange Commission, mediante un Form 8-K, de un ciberataque basado en técnicas de ingeniería social.

Los atacantes comprometieron los equipos corporativos asignados a tres empleados. Las investigaciones preliminares indican que podrían haber consultado y exfiltrado información interna.

No se ha revelado la identidad del atacante. La empresa tampoco ha precisado si se solicitaron pagos extorsivos ni qué técnica específica se empleó.

Sin evidencias preliminares de datos de clientes

Según las comprobaciones realizadas hasta el momento, Levi Strauss no ha detectado el robo de datos de clientes. Por tanto, el posible impacto se limitaría a información corporativa, aunque no se han publicado detalles sobre su tipo o volumen.

La empresa considera que el incidente no tuvo, ni es razonablemente probable que tenga, un impacto material. No se han registrado interrupciones de las operaciones.

Informes no confirmados apuntan a una posible implicación de UNC6671, un grupo asociado a campañas de voice phishing. Levi Strauss no ha confirmado esta atribución.

Contención ya realizada, investigación aún abierta

La compañía aplicó medidas inmediatas de respuesta y contención. Los atacantes habrían sido eliminados de los equipos comprometidos.

La investigación continúa. No se han divulgado indicadores de compromiso, detalles forenses, datos posiblemente exfiltrados ni medidas técnicas adicionales.

No se ha identificado la implicación de productos de software, versiones, vulnerabilidades o identificadores CVE específicos. Por tanto, no hay ningún parche específico que instalar.

Qué deben verificar las organizaciones

Dado que el acceso se habría iniciado mediante ingeniería social, las empresas deberían verificar la autenticidad de las solicitudes recibidas por teléfono u otros canales, especialmente cuando impliquen credenciales, accesos remotos o transferencias de datos.

Ante la ausencia de indicadores públicos, no es posible asociar el incidente con archivos, direcciones o dominios específicos. Por ello, las organizaciones afectadas deberían centrarse en los logs de las cuentas de los tres empleados implicados, los accesos anómalos y las transferencias de información corporativa.