Il caso di violazione del mese di settembre: come l’ingegneria sociale ha aperto le porte alla Levi Strauss

Che cosa è successo?

Nell’agosto del 2026, Levi Strauss & Co. ha reso noto un incidente di sicurezza informatica dopo che una terza parte non autorizzata ha utilizzato tecniche di ingegneria sociale per accedere ai computer aziendali di tre dipendenti.

Una volta ottenuto l’accesso, gli hacker sono riusciti a penetrare nei file aziendali e a rubare informazioni riservate. Levi Strauss non ha rivelato esattamente cosa sia stato sottratto né come i dipendenti siano stati convinti a concedere l’accesso agli hacker, quindi ci sono ancora alcune domande senza risposta su come si sia svolto l’attacco.

Quello che sappiamo è che Levi Strauss ha individuato l’attività e ha agito subito. L’azienda è riuscita a bloccare l’accesso non autorizzato e, da una prima indagine, non è emersa alcuna prova che i dati dei clienti siano stati compromessi. L’incidente non ha nemmeno interferito con le operazioni quotidiane, il che fa pensare che la risposta abbia contribuito a contenere l’attacco prima che potesse causare danni più estesi.

L’indagine è ancora in corso, ma l’incidente dimostra quanto possa essere efficace l’ingegneria sociale. Gli hacker non hanno necessariamente bisogno di trovare una falla nella tua tecnologia se riescono a convincere qualcuno all’interno dell’organizzazione a farli entrare.

Perché l’ingegneria sociale continua a essere così efficace

Le aziende hanno investito per anni nella tecnologia per rendere più difficile agli hacker l’accesso ai propri sistemi. Ma quando la porta principale è ben protetta, i criminali informatici cercano un’altra via d’accesso e, sempre più spesso, questo significa prendere di mira le persone che hanno un accesso legittimo.

Non sappiamo esattamente come siano stati avvicinati i tre dipendenti della Levi Strauss, né cosa li abbia convinti a concedere l’accesso agli hacker, ma quello che sappiamo è che ha funzionato. Sono stati presi di mira solo tre dipendenti, eppure gli hacker sono riusciti ad accedere ai computer aziendali e a rubare informazioni riservate.

È proprio questo che rende così difficile difendersi dall’ingegneria sociale. Gli hacker fanno le loro ricerche, usando le informazioni su un’organizzazione o sui suoi dipendenti per far sembrare autentica una richiesta. Una richiesta che sembra provenire dal supporto IT, per esempio, può sembrare perfettamente ragionevole quando arriva nel bel mezzo di una giornata di lavoro frenetica.

I dipendenti devono quindi essere preparati per questi momenti. Devono sentirsi a proprio agio nel rallentare il ritmo quando qualcosa sembra strano, verificare che una richiesta sia autentica e segnalarla subito se qualcosa non quadra. I controlli tecnici sono ancora importanti, ma dare alle persone la sicurezza necessaria per mettere in discussione ciò che viene loro chiesto di fare può impedire che un approccio convincente si trasformi in un incidente di sicurezza molto più grave.

Sono bastati tre dipendenti per causare un incidente di sicurezza

Uno degli aspetti più sorprendenti della violazione subita da Levi Strauss è la portata dell’attacco nel punto di accesso. L’attacco ha preso di mira solo tre dipendenti, ma è bastato questo perché una terza parte non autorizzata potesse accedere ai computer aziendali e sottrarre informazioni aziendali.

È un ottimo esempio del motivo per cui il rischio informatico legato alle persone non può essere misurato semplicemente contando quanti dipendenti hanno cliccato su una simulazione di phishing o hanno completato la formazione annuale. Un solo tentativo di ingegneria sociale andato a buon fine può creare un’opportunità per un hacker, soprattutto se il dipendente o il dispositivo coinvolto ha accesso a informazioni sensibili.

Questo non vuol dire che i dipendenti debbano essere considerati il problema. I criminali informatici progettano apposta attacchi di ingegneria sociale per sfruttare i normali comportamenti umani, che si tratti di fidarsi di una richiesta convincente o di cercare di risolvere rapidamente una situazione.

L’obiettivo della sensibilizzazione alla sicurezza dovrebbe essere quello di preparare le persone ad affrontare quei momenti. I dipendenti devono acquisire esperienza pratica sulle tecniche utilizzate dagli hacker e acquisire la sicurezza necessaria per fermarsi, mettere in discussione una richiesta e segnalarla quando qualcosa non sembra andare per il verso giusto.

Cosa ha fatto bene Levi Strauss

Gli hacker potrebbero essere riusciti a mettere le mani su alcune informazioni aziendali, ma sembra che Levi Strauss abbia agito subito non appena l’attività è stata scoperta.

L’azienda ha messo in atto il proprio piano di risposta agli incidenti e ha coinvolto esperti esterni di sicurezza informatica per aiutare a capire cosa fosse successo. Ma soprattutto, è riuscita a bloccare l’accesso non autorizzato e a impedire agli hacker di andare oltre.

Quella risposta rapida sembra aver fatto davvero la differenza. Levi Strauss ha dichiarato che dalla sua indagine iniziale non sono emerse prove che i dati dei consumatori fossero stati compromessi e che l’incidente non abbia interferito con le sue normali attività quotidiane.

È una parte importante della storia perché nessuna organizzazione può dare per scontato di riuscire a fermare ogni attacco al primo ostacolo. A volte gli aggressori riescono a passare, e quando succede, la rapidità con cui ti accorgi di cosa sta succedendo e reagisci può avere un impatto enorme su ciò che accadrà dopo. Avere un piano già pronto significa che i team non si trovano a improvvisare mentre l’incidente è già in corso.

Cosa possono imparare le organizzazioni

La violazione subita da Levi Strauss è un ottimo esempio del perché l’ingegneria sociale non possa essere considerata un argomento di cui i dipendenti sentono parlare una volta all’anno per poi dimenticarsene. Gli hacker cambiano continuamente strategia e le situazioni che creano possono sembrare incredibilmente simili alle richieste autentiche con cui le persone hanno a che fare ogni giorno.

La consapevolezza in materia di sicurezza deve stare al passo con tutto questo. Anziché limitarsi a dire ai dipendenti di “stare attenti ai messaggi sospetti”, le aziende possono offrire loro l’opportunità di affrontare scenari realistici e di esercitarsi su come reagire. Più queste tattiche diventano familiari, più diventa facile capire quando qualcosa non quadra.

È importante anche creare un clima in cui le persone si sentano a proprio agio nel mettere in discussione richieste insolite. Se un dipendente riceve una chiamata inaspettata in cui gli viene chiesto l’accesso, per esempio, dovrebbe sapere come verificare se è autentica senza sentirsi di fare il difficile o di rallentare qualcuno. E se sospetta che ci sia qualcosa che non va, segnalarlo dovrebbe essere facile e veloce.

C’è anche una lezione da trarre da quello che è successo dopo che gli hacker sono riusciti a entrare. Levi Strauss è riuscita a contenere l’incidente prima che compromettesse le operazioni o, in base alle prime indagini, mettesse a rischio i dati dei clienti. Le aziende devono pensare anche a questo aspetto, assicurandosi che le attività sospette possano essere individuate rapidamente e che tutti i coinvolti sappiano cosa fare quando si verifica un incidente.

In fin dei conti, l’ingegneria sociale funziona perché chi attacca sa come far sembrare credibili le proprie richieste. Non possiamo eliminare del tutto quell’istinto umano di fidarsi, né vorremmo farlo. Ma possiamo fornire ai dipendenti le conoscenze e la sicurezza necessarie per capire quando una richiesta merita un’ulteriore verifica, rendendo molto più difficile che un’interazione apparentemente convincente si trasformi in qualcosa di più grave.

Prepara i tuoi dipendenti ad affrontare gli attacchi di ingegneria sociale

Gli attacchi di ingegneria sociale più efficaci non sembrano per forza sospetti a prima vista. Possono presentarsi come una richiesta perfettamente plausibile da parte di qualcuno che sembra avere un buon motivo per farla, ed è proprio per questo che i dipendenti devono avere la possibilità di esercitarsi a riconoscerli.

MetaCompliance aiuta le aziende a preparare i dipendenti ad affrontare questi momenti attraverso un corsi di sensibilizzazione alla sicurezza che aiutano le persone a capire come funziona l’ingegneria sociale e a riconoscere le tattiche usate dagli hacker. Le nostre avanzate simulazioni di phishing offri ai dipendenti l’opportunità di mettere in pratica queste conoscenze attraverso scenari realistici basati sulle minacce che potrebbero incontrare. Se qualcuno dovesse cadere nella trappola di una simulazione, un corso di formazione di approfondimento mirato può aiutare ad affrontare quel comportamento specifico e a rafforzare ciò a cui prestare attenzione la prossima volta.

Unendo una consapevolezza costante all’esperienza pratica, le aziende possono aiutare i dipendenti ad acquisire maggiore sicurezza nel mettere in discussione richieste insolite e nel reagire rapidamente quando qualcosa non quadra.

Contattaci per scoprire come MetaCompliance può aiutare i tuoi dipendenti a stare un passo avanti rispetto agli attacchi di ingegneria sociale, oppure prenota subito una demo.