Incidente de segurança em destaque em setembro: como a engenharia social abriu as portas na Levi Strauss

O que aconteceu?

Em agosto de 2026, a Levi Strauss & Co. revelou um incidente de cibersegurança depois de um terceiro não autorizado ter utilizado técnicas de engenharia social para aceder aos computadores da empresa de três funcionários.

Assim que os atacantes conseguiram acesso, conseguiram entrar nos ficheiros da empresa e roubar informação corporativa. A Levi Strauss ainda não revelou exatamente o que foi roubado nem como é que os funcionários foram convencidos a dar acesso aos atacantes, por isso ainda há algumas questões por esclarecer sobre como o ataque se desenrolou.

O que sabemos é que a Levi Strauss detetou a atividade e agiu rapidamente. A empresa conseguiu bloquear o acesso não autorizado e a sua investigação inicial não encontrou indícios de que os dados dos consumidores tivessem sido comprometidos. O incidente também não perturbou as operações do dia-a-dia, o que sugere que a resposta ajudou a conter o ataque antes que este pudesse causar danos mais graves.

A investigação ainda está em curso, mas o incidente mostra bem como a engenharia social pode ser eficaz. Os atacantes não precisam necessariamente de encontrar uma falha na tua tecnologia se conseguirem convencer alguém dentro da organização a deixá-los entrar.

Por que é que a engenharia social continua a ser tão eficaz

As organizações passaram anos a investir em tecnologia para dificultar a entrada de atacantes nos seus sistemas. Mas quando a porta da frente está bem protegida, os cibercriminosos procuram outra via e, cada vez mais, isso significa atacarem as pessoas com acesso legítimo.

Não sabemos exatamente como é que os três funcionários da Levi Strauss foram abordados, nem o que os levou a dar acesso aos atacantes; o que sabemos é que resultou. Apenas três funcionários foram alvo do ataque, mas mesmo assim os atacantes conseguiram aceder aos computadores fornecidos pela empresa e roubar informações corporativas.

É isso que torna a engenharia social tão difícil de combater. Os atacantes preparam-se bem, usando informações sobre uma organização ou os seus funcionários para fazer com que um pedido pareça genuíno. Algo que pareça vir do apoio informático, por exemplo, pode parecer perfeitamente razoável quando chega a meio de um dia de trabalho agitado.

Por isso, os colaboradores têm de estar preparados para esses momentos. Têm de se sentir à vontade para abrandar o ritmo quando algo parecer estranho, verificar se um pedido é legítimo e comunicar rapidamente se algo não parecer certo. Os controlos técnicos continuam a ser importantes, mas dar às pessoas a confiança necessária para questionarem o que lhes pedem para fazer pode impedir que uma abordagem convincente se transforme num incidente de segurança muito mais grave.

Bastaram três funcionários para causar um incidente de segurança

Um dos detalhes mais marcantes sobre a violação de segurança da Levi Strauss é a sua dimensão no ponto de entrada. O ataque visou apenas três funcionários, mas isso foi o suficiente para que um terceiro não autorizado acedesse aos computadores fornecidos pela empresa e roubasse informações corporativas.

É um bom exemplo do motivo pelo qual o risco cibernético relacionado com as pessoas não pode ser avaliado apenas vendo quantos funcionários clicaram numa simulação de phishing ou concluíram a sua formação anual. Uma única tentativa bem-sucedida de engenharia social pode criar uma oportunidade para um atacante, especialmente se o funcionário ou o dispositivo envolvido tiver acesso a informação sensível.

Isso não quer dizer que os funcionários devam ser vistos como o problema. Os cibercriminosos concebem deliberadamente ataques de engenharia social para tirar partido do comportamento humano normal, seja ao confiar num pedido convincente ou ao tentar resolver algo rapidamente.

O objetivo da sensibilização para a segurança deve ser preparar as pessoas para esses momentos. Os colaboradores precisam de experiência prática com as técnicas que os atacantes usam e de confiança para parar, questionar um pedido e denunciá-lo quando algo não parecer certo.

O que o Levi Strauss fez bem

Os atacantes podem ter conseguido deitar as mãos a informações da empresa, mas a Levi Strauss parece ter agido rapidamente assim que a atividade foi descoberta.

A empresa pôs em prática o seu plano de resposta a incidentes e recorreu a especialistas externos em cibersegurança para ajudar a investigar o que tinha acontecido. Mais importante ainda, conseguiu bloquear o acesso não autorizado e impedir que os atacantes fossem mais longe.

Essa resposta rápida parece ter feito mesmo a diferença. A Levi Strauss disse que a sua investigação inicial não encontrou indícios de que os dados dos consumidores tivessem sido comprometidos e que o incidente não tenha afetado as suas operações diárias.

É uma parte importante da história porque nenhuma organização pode partir do princípio de que vai impedir todos os ataques logo à primeira tentativa. Às vezes, os atacantes conseguem passar, e quando isso acontece, a rapidez com que detectas o que está a acontecer e reages pode ter um impacto enorme no que se segue. Ter um plano definido significa que as equipas não ficam a tentar perceber as coisas pela primeira vez enquanto um incidente já está a acontecer.

O que as organizações podem aprender

A violação de segurança da Levi Strauss é um bom exemplo do porquê de a engenharia social não poder ser tratada como um tema sobre o qual os funcionários ouvem falar uma vez por ano e depois esquecem. Os atacantes estão constantemente a mudar a sua abordagem, e as situações que criam podem parecer incrivelmente semelhantes aos pedidos genuínos com que as pessoas lidam todos os dias.

A sensibilização para a segurança tem de acompanhar essa evolução. Em vez de se limitarem a dizer aos colaboradores para «terem cuidado com mensagens suspeitas», as organizações podem dar às pessoas a oportunidade de vivenciarem cenários realistas e de praticarem como reagiriam. Quanto mais familiares essas táticas parecerem, mais fácil se torna perceber quando algo não está bem.

Também é importante criar uma cultura em que as pessoas se sintam à vontade para questionar pedidos invulgares. Se um colaborador receber uma chamada inesperada a pedir acesso, por exemplo, deve saber como verificar se é legítima sem sentir que está a ser chato ou a atrasar alguém. E se suspeitar que algo está errado, deve ser rápido e fácil comunicar isso.

Também há uma lição a tirar do que aconteceu depois de os atacantes terem entrado. A Levi Strauss conseguiu conter o incidente antes que este perturbasse as operações ou, com base na sua investigação inicial, afetasse os dados dos consumidores. As organizações também precisam de pensar nesse lado da equação, garantindo que as atividades suspeitas possam ser detetadas rapidamente e que todos os envolvidos saibam o que fazer quando ocorrer um incidente.

No fundo, a engenharia social funciona porque os atacantes sabem como fazer com que os seus pedidos pareçam credíveis. Não podemos eliminar por completo esse instinto humano de confiar, nem queremos fazê-lo. Mas podemos dar aos colaboradores o conhecimento e a confiança necessários para reconhecerem quando um pedido merece uma análise mais atenta, tornando muito mais difícil que uma interação convincente se transforme em algo mais grave.

Prepara os teus colaboradores para ataques de engenharia social

Os ataques de engenharia social mais eficazes nem sempre parecem suspeitos à primeira vista. Podem surgir como um pedido perfeitamente plausível de alguém que parece ter um bom motivo para o fazer, e é exatamente por isso que os funcionários precisam de ter a oportunidade de praticar a forma de os reconhecer.

A MetaCompliance ajuda as organizações a preparar os colaboradores para esses momentos através de formação em sensibilização para a segurança que ajuda as pessoas a perceber como funciona a engenharia social e a reconhecer as táticas que os atacantes usam. As nossas simulações de phishing dá aos colaboradores a oportunidade de pôr esses conhecimentos em prática com cenários realistas, baseados nas ameaças com que provavelmente se vão deparar. Se alguém cair numa simulação, uma formação de acompanhamento adequada pode ajudar a corrigir esse comportamento específico e a reforçar o que devem ter em atenção da próxima vez.

Ao combinar uma sensibilização constante com a experiência prática, as organizações podem ajudar os colaboradores a ganharem mais confiança para questionar pedidos invulgares e a reagirem rapidamente quando algo não lhes parecer bem.

Entra em contacto connosco para descobrires como a MetaCompliance pode ajudar os teus colaboradores a estarem sempre um passo à frente dos ataques de engenharia social, ou marca já uma demonstração.