Attacco di social engineering contro Levi Strauss: compromessi i computer di tre dipendenti

Accesso a sistemi aziendali e possibile esfiltrazione

Levi Strauss & Co. ha comunicato alla U.S. Securities and Exchange Commission, tramite un Form 8-K, un attacco informatico basato su tecniche di social engineering.

Gli aggressori hanno compromesso i computer aziendali assegnati a tre dipendenti. Gli accertamenti preliminari indicano che potrebbero aver consultato ed esfiltrato informazioni interne.

L’identità dell’attaccante non è stata resa nota. L’azienda non ha precisato se siano state avanzate richieste estorsive né quale tecnica specifica sia stata impiegata.

Nessuna evidenza preliminare di dati dei clienti

Levi Strauss non ha rilevato, sulla base delle verifiche finora svolte, la sottrazione di dati dei clienti. Il possibile impatto riguarda quindi informazioni corporate, ma non sono stati pubblicati dettagli sulla loro tipologia o quantità.

L’azienda ritiene che l’incidente non abbia avuto, né sia ragionevolmente probabile che abbia, un impatto materiale. Non risultano interruzioni delle attività operative.

Rapporti non confermati ipotizzano un possibile coinvolgimento di UNC6671, gruppo associato a campagne di voice phishing. L’attribuzione non è stata confermata da Levi Strauss.

Contenimento già eseguito, indagine ancora aperta

La società ha applicato misure immediate di risposta e contenimento. Gli aggressori risultano rimossi dai computer compromessi.

L’investigazione prosegue. Non sono stati resi noti indicatori di compromissione, dettagli forensi, dati eventualmente esfiltrati o ulteriori contromisure tecniche.

Non risultano coinvolti prodotti software specifici, versioni, vulnerabilità o identificativi CVE. Di conseguenza, non è disponibile una patch dedicata da installare.

Cosa devono verificare le organizzazioni

Poiché l’accesso sarebbe partito dal social engineering, le aziende dovrebbero verificare autenticità delle richieste ricevute via telefono o altri canali, soprattutto quando riguardano credenziali, accessi remoti o trasferimenti di dati.

In assenza di indicatori pubblici, non è possibile associare l’incidente a file, indirizzi o domini specifici. Le organizzazioni interessate dovrebbero quindi concentrarsi sui log degli account dei tre dipendenti coinvolti, sugli accessi anomali e sui trasferimenti di informazioni aziendali.