Levi’s sofre ataque com engenharia social e perde dados internos

A Levi Strauss & Co. admitiu ter sofrido um ataque informático em que hackers recorreram a engenharia social para comprometer três funcionários e roubar dados corporativos das máquinas atribuídas pela empresa. A revelação foi feita numa comunicação à SEC, o regulador de mercado norte-americano, uma pista útil: quando uma marca corre para um formulário público destes, o risco jurídico pesa tanto como o técnico.

Segundo a Levi’s, o incidente foi detetado e contido rapidamente. A empresa diz acreditar que o acesso não autorizado foi interrompido e que nenhum dado de consumidores foi afetado. Também garante que não houve interrupção das operações, ou seja, nem fábricas paradas nem lojas fechadas. É a versão oficial, suportada por uma investigação ainda em curso. O problema é que, em cibersegurança corporativa, o verbo “acreditar” costuma ser um sinal de que ainda há peças em falta.

O ataque terá começado com engenharia social aplicada a três colaboradores, o que pode significar desde telefonemas de vishing, passando por emails muito convincentes, até à clássica combinação de pressa, pressão hierárquica simulada e algum descuido. Em 2024 e 2025 vimos grupos inteiros especializados em telefonar para equipas de suporte e helpdesk para forçar resets de passwords e acessos remotos. O grupo UNC6671, apontado por equipas de threat intel da Google, já foi ligado a campanhas de voice phishing contra centenas de organizações. Alguns meios norte-americanos sugerem que o caso Levi’s pode estar na mesma vaga, embora nada tenha sido oficialmente atribuído.

Para já, a Levi’s fala apenas em “informação corporativa” acedida e exfiltrada. Isto é deliberadamente vago. Pode ir de documentação interna sem grande sensibilidade a ficheiros com dados financeiros, planos de expansão, contratos com retalhistas ou detalhes de cadeias de fornecimento. Para uma marca com 19.000 funcionários, mais de 3.300 lojas e presença massiva em terceiros, o valor deste tipo de informação para grupos de extorsão é óbvio. Mesmo que não haja base de dados de clientes à mistura, segredos de negócio também se compram e vendem.

Do ponto de vista de quem compra jeans na Europa, incluindo Portugal, o recado é outro. A empresa afirma que as contas de cliente não foram tocadas, mas até haver relatório final, quem tiver conta na loja online da Levi’s faz bem em vigiar acessos estranhos, emails de redefinição de password inesperados e compras que não fez. Não há qualquer indicação de que credenciais tenham sido roubadas, mas o histórico recente de fugas de informação no retalho mostra que demasiadas vezes o “não há indícios” evolui para “ afinal havia mais”. Basta olhar para outros casos que temos seguido, como os ataques recentes a fabricantes e operadores na Ásia descritos no nosso artigo sobre a fragilidade das grandes tech perante grupos organizados.

O caso Levi’s encaixa na mesma tendência: cadeias globais, marcas conhecidas do grande público e uma superfície de ataque humana impossível de fechar a 100%. Treinar funcionários ajuda, mas não resolve a assimetria entre um atacante com tempo e criatividade e equipas de IT pressionadas por prazos e custos. Enquanto o compliance ditar a narrativa oficial e a SEC for o palco principal, o público vai continuar a receber comunicados onde “não houve impacto material” convive com a realidade de que alguém lá fora ficou com mais dados sobre a empresa do que deveria. O denim aguenta muita coisa, mas a confiança digital rasga-se bem mais depressa.

Fonte: BleepingComputer