アパレル大手のリーバイ・ストラウス(Levi Strauss & Co.)は、権限を持たない第三者がソーシャルエンジニアリングの手口を用いて会社支給の従業員用コンピューター3台にあるファイルへアクセスし、詳細不明の企業情報が外部に持ち出されたことを明らかにしました。
同社は2026年8月7日、米証券取引委員会(SEC)に提出したForm 8-Kでこのインシデントを公表しています。
リーバイ・ストラウスによると、予備調査の結果、攻撃者が特定の企業データにアクセスし外部へ持ち出したことが判明したものの、消費者情報への影響はなく、事業運営も中断することなく継続しているとしています。
今回の侵入は、攻撃者が3名の従業員に対してソーシャルエンジニアリングを仕掛けたことに端を発しており、これにより会社支給の端末への不正アクセスが可能になりました。
リーバイ・ストラウスは、フィッシングメール、ボイスフィッシング、偽のITサポート要請、あるいは多要素認証疲労攻撃(MFA疲労攻撃)といった具体的な侵入経路については明らかにしておらず、脅威アクターの特定情報も公表していません。
この点は重要な違いといえます。今回の情報開示は、既知のソフトウェア脆弱性やパッチ未適用のシステム、外部に露出したアプリケーションではなく、従業員を欺く手口によって侵害が起きたとしている点です。
SECへの提出書類によると、ソーシャルエンジニアリングによる攻撃が今なお効果を発揮し続けているのは、企業のセキュリティ対策を取り巻く「人」という層、すなわちアイデンティティや信頼関係、日常的な業務フローを標的にしているためです。
リーバイ・ストラウスによると、アクセス権を得た侵入者は会社のファイルにアクセスし、「特定の企業情報」を外部に持ち出しました。同社は、盗まれたデータの種類や量、機密区分、業務上の重要度について公には詳細を明かしていません。
また、ランサムウェアの展開やシステムの暗号化、身代金要求、データ流出を主張する公表なども報告されていません。
リーバイ・ストラウスは、不正な活動を検知した後、インシデント対応プロトコルを発動したと述べています。同社は封じ込め対策を実施し、外部のサイバーセキュリティ専門家と連携するとともに、調査を開始しており、この調査は現在も続いています。
同社は「本届出書の提出日時点で」、対応によって不正アクセスの封じ込めと遮断に成功したとの見解を示しています。
さらに同社は、今回の事案が事業運営の中断を引き起こしておらず、同社の戦略、業務、財務状況、経営成績に重大な影響を及ぼすとは見込んでいないとも述べています。
同社は、法律で義務付けられている場合には影響を受けた当事者や関係当局への通知をこれまでも行っており、今後も継続する方針であるとしています。
ただし、今回の届出書では、どの当事者が影響を受けた可能性があるのか、持ち出されたファイルに従業員情報が含まれていたかどうか、あるいは追加の通知義務が見込まれるかどうかについては明記されていません。
今回のインシデントは、ユーザーが企業文書や社内コラボレーションプラットフォーム、クラウドストレージ、あるいはアイデンティティ管理サービスにアクセスできる環境下では、わずかな数のエンドポイントが侵害されただけでも、企業全体に及ぶリスクにつながりかねないことを浮き彫りにしています。防御側にとって、ソーシャルエンジニアリングへの耐性を高めるには、意識向上トレーニングだけでは不十分です。
組織は、フィッシング耐性のある多要素認証、条件付きアクセス制御、エンドポイントに対する最小権限の付与、ヘルプデスクにおける本人確認手続き、そして異常なログインやリモートアクセス活動、不審なファイルダウンロード、データ流出を検知する一元的な監視体制を導入すべきです。
セキュリティチームはまた、疑わしい端末を迅速に隔離し、有効なセッションを失効させ、影響を受けた認証情報をリセットし、フォレンジック証拠を保全できるよう、エンドポイント検知・対応(EDR)ツールを整備しておく必要があります。
リーバイ・ストラウスの今回の情報開示は、迅速な封じ込めによって業務への影響を抑えられることを示していますが、企業データ流出の全容と影響範囲については、現在も続く調査によって明らかになるでしょう。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより速く。 フィッシングの可視性を完全に確保し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/levi-strauss-cyberattack-social-engineering-breach-employee-computers/
