Incidente destacado de septiembre: cómo la ingeniería social abrió la puerta a Levi Strauss

¿Qué ha ocurrido?

En agosto de 2026, Levi Strauss & Co. reveló un incidente de ciberseguridad después de que un tercero no autorizado utilizara técnicas de ingeniería social para acceder a los ordenadores de empresa de tres empleados.

Una vez que los atacantes obtuvieron acceso, pudieron acceder a los archivos de la empresa y sustraer información corporativa. Levi Strauss no ha revelado exactamente qué se sustrajo ni cómo se convenció a los empleados para que concedieran acceso a los atacantes, por lo que aún quedan algunas preguntas sin respuesta sobre cómo se desarrolló el ataque.

Lo que sí sabemos es que Levi Strauss detectó la actividad y actuó con rapidez. La empresa logró bloquear el acceso no autorizado y, según su investigación inicial, no se encontraron indicios de que los datos de los consumidores se hubieran visto comprometidos. El incidente tampoco alteró las operaciones cotidianas, lo que sugiere que la respuesta ayudó a contener el ataque antes de que pudiera causar daños de mayor alcance.

La investigación aún está en curso, pero el incidente pone de manifiesto lo eficaz que puede resultar la ingeniería social. Los atacantes no necesitan necesariamente encontrar una vulnerabilidad en su tecnología si logran convencer a alguien de dentro de la organización para que les permita el acceso.

Por qué la ingeniería social sigue siendo tan eficaz

Las organizaciones llevan años invirtiendo en tecnología para dificultar que los atacantes accedan a sus sistemas. Sin embargo, cuando la puerta principal está bien protegida, los ciberdelincuentes buscan otra vía de acceso y, cada vez más, eso implica atacar a las personas que cuentan con acceso legítimo.

No sabemos exactamente cómo se pusieron en contacto con los tres empleados de Levi Strauss, ni qué les convenció para que permitieran el acceso a los atacantes; lo que sí sabemos es que funcionó. Aunque solo se dirigieron a tres empleados, los atacantes lograron acceder a los ordenadores de la empresa y sustraer información corporativa.

Eso es precisamente lo que hace que sea tan difícil defenderse de la ingeniería social. Los atacantes se preparan a fondo y utilizan información sobre una organización o sus empleados para que una solicitud parezca auténtica. Algo que, por ejemplo, parezca proceder del servicio de asistencia informática, puede parecer perfectamente razonable cuando se recibe en medio de una ajetreada jornada laboral.

Por lo tanto, los empleados deben estar preparados para esos momentos. Deben sentirse cómodos a la hora de tomarse su tiempo cuando algo les parezca inusual, comprobar que una solicitud es auténtica y comunicarlo rápidamente si algo no les parece bien. Los controles técnicos siguen siendo importantes, pero dotar a las personas de la confianza necesaria para cuestionar lo que se les pide que hagan puede evitar que un intento de engaño convincente se convierta en un incidente de seguridad mucho más grave.

Bastaron tres empleados para provocar un incidente de seguridad

Uno de los detalles más llamativos de la filtración de datos de Levi Strauss es su magnitud en el punto de entrada. El ataque se dirigió únicamente contra tres empleados, pero eso bastó para que un tercero no autorizado accediera a los ordenadores proporcionados por la empresa y se hiciera con información corporativa.

Es un buen ejemplo de por qué el riesgo cibernético humano no puede medirse simplemente observando cuántos empleados han hecho clic en una simulación de phishing o han completado su formación anual. Un solo intento de ingeniería social que tenga éxito puede brindar una oportunidad a un atacante, sobre todo si el empleado o el dispositivo en cuestión tiene acceso a información confidencial.

Eso no significa que se deba considerar a los empleados como el problema. Los ciberdelincuentes diseñan deliberadamente ataques de ingeniería social para aprovecharse del comportamiento humano habitual, ya sea confiar en una solicitud convincente o intentar resolver algo rápidamente.

El objetivo de la sensibilización en materia de seguridad debe ser preparar a las personas para esos momentos. Los empleados necesitan adquirir experiencia práctica sobre las técnicas que utilizan los atacantes y tener la seguridad necesaria para detenerse, cuestionar una solicitud y denunciarla cuando algo no les parezca correcto.

Lo que Levi Strauss hizo bien

Es posible que los atacantes hayan logrado hacerse con información de la empresa, pero Levi Strauss parece haber actuado con rapidez en cuanto se descubrió dicha actividad.

La empresa puso en marcha su plan de respuesta ante incidentes y recurrió a expertos externos en ciberseguridad para que le ayudaran a investigar lo ocurrido. Y lo más importante: logró bloquear el acceso no autorizado e impedir que los atacantes siguieran avanzando.

Esa rápida respuesta parece haber marcado una verdadera diferencia. Levi Strauss afirmó que su investigación inicial no había encontrado pruebas de que los datos de los consumidores se hubieran visto comprometidos, y que el incidente no había alterado sus operaciones comerciales cotidianas.

Es una parte importante de la historia porque ninguna organización puede dar por sentado que detendrá todos los ataques desde el primer momento. A veces, los atacantes logran colarse y, cuando lo hacen, la rapidez con la que se detecta lo que está ocurriendo y se responde puede tener un impacto enorme en lo que suceda a continuación. Contar con un plan establecido significa que los equipos no tienen que ir improvisando sobre la marcha mientras el incidente ya se está desarrollando.

Lo que pueden aprender las organizaciones

La filtración de datos de Levi Strauss es un buen ejemplo de por qué la ingeniería social no puede considerarse un tema del que los empleados oigan hablar una vez al año para luego olvidarlo. Los atacantes cambian constantemente su estrategia, y las situaciones que crean pueden parecer sorprendentemente similares a las solicitudes auténticas con las que las personas se enfrentan a diario.

La concienciación en materia de seguridad debe ir a la par con ello. En lugar de limitarse a decir a los empleados que «estén atentos a los mensajes sospechosos», las organizaciones pueden ofrecerles la oportunidad de enfrentarse a situaciones realistas y practicar cómo responderían. Cuanto más familiares les resulten esas tácticas, más fácil les resultará reconocer cuándo algo no va del todo bien.

También es importante crear una cultura en la que las personas se sientan cómodas a la hora de cuestionar peticiones inusuales. Si un empleado recibe una llamada inesperada en la que se le solicita acceso, por ejemplo, debe saber cómo comprobar si es auténtica sin sentir que está poniendo pegas o retrasando a alguien. Y si sospecha que algo no va bien, la notificación debe ser rápida y sencilla.

También hay una lección que extraer de lo que ocurrió una vez que los atacantes lograron acceder al sistema. Levi Strauss fue capaz de contener el incidente antes de que interrumpiera las operaciones o, según su investigación inicial, afectara a los datos de los consumidores. Las organizaciones deben tener en cuenta también ese aspecto de la ecuación, asegurándose de que las actividades sospechosas puedan detectarse rápidamente y de que todas las personas implicadas sepan qué hacer cuando se produzca un incidente.

En definitiva, la ingeniería social funciona porque los atacantes saben cómo hacer que sus peticiones parezcan creíbles. No podemos eliminar por completo ese instinto humano de confiar, ni querríamos hacerlo. Pero sí podemos dotar a los empleados de los conocimientos y la seguridad necesarios para reconocer cuándo una petición merece un análisis más detallado, lo que dificulta considerablemente que una interacción convincente derive en algo más grave.

Prepare a sus empleados para hacer frente a los ataques de ingeniería social

Los ataques de ingeniería social más eficaces no parecen necesariamente sospechosos a primera vista. Pueden presentarse como una solicitud perfectamente plausible por parte de alguien que parece tener una buena razón para pedirlo, y precisamente por eso es necesario que los empleados tengan la oportunidad de practicar cómo detectarlos.

MetaCompliance ayuda a las organizaciones a preparar a sus empleados para esos momentos mediante una cursos de sensibilización en materia de seguridad que ayuda a las personas a comprender cómo funciona la ingeniería social y a reconocer las tácticas que emplean los atacantes. Nuestras avanzadas simulaciones de phishing Ofrecer a los empleados la oportunidad de poner en práctica esos conocimientos mediante situaciones realistas basadas en las amenazas con las que es probable que se enfrenten. Si alguien cae en la trampa de una simulación, una formación de seguimiento adecuada puede ayudar a corregir ese comportamiento concreto y reforzar los aspectos a los que debe prestar atención la próxima vez.

Al combinar una sensibilización constante con la experiencia práctica, las organizaciones pueden ayudar a los empleados a sentirse más seguros a la hora de cuestionar peticiones inusuales y reaccionar con rapidez cuando algo no les parezca bien.

Póngase en contacto con nosotros para descubrir cómo MetaCompliance puede ayudar a sus empleados a adelantarse a los ataques de ingeniería social, o reserve una demostración hoy mismo.