In questo articolo Indice dei contenuti 2 sezioni
Levi’s è stata colpita da un attacco informatico che ha permesso a un soggetto esterno di infilarsi nei computer di alcuni dipendenti dell’azienda. Il gigante americano dell’abbigliamento, noto in tutto il mondo per i suoi jeans, ha spiegato di aver subito una violazione basata sul cosiddetto social engineering, una tecnica che punta più sulle persone che sui sistemi tecnologici veri e propri.
Nel comunicato inviato alla SEC, l’organo che negli Stati Uniti vigila sui mercati finanziari, la società ha chiarito che un individuo non autorizzato è riuscito ad accedere ai dispositivi di tre dipendenti. Da qui è partita la sottrazione di alcune informazioni interne. Un episodio che rientra in una categoria di attacchi sempre più diffusa, dove il punto debole non è tanto il software quanto la fiducia di chi lavora dentro l’organizzazione.
Cosa è stato sottratto e cosa no
La buona notizia, se così si può dire, è che stando a quanto comunicato da Levi Strauss & Co. non risultano coinvolti dati dei clienti. Nessuna carta di credito, nessun indirizzo, niente informazioni personali degli acquirenti finiti in mano a terzi. L’attacco ha riguardato materiale aziendale interno, quindi documenti e informazioni legate all’operatività dell’impresa piuttosto che al pubblico.
L’azienda ha inoltre precisato che le sue attività e il suo business restano del tutto invariati. In altre parole, negozi, produzione e vendite continuano a funzionare senza intoppi, nonostante l’incidente. Un dettaglio non da poco, perché in casi simili la paura più grande riguarda proprio l’eventuale blocco delle operazioni o la fuga di dati sensibili capaci di danneggiare clienti e partner commerciali.
Perché il social engineering fa così paura
Il fatto che l’attacco sia passato attraverso il social engineering merita qualche riga in più. Questa tecnica non sfrutta falle nei sistemi informatici, ma la componente umana. In pratica gli aggressori convincono con l’inganno una persona a concedere accessi o a fornire credenziali, spesso fingendosi qualcun altro o creando situazioni di urgenza artificiali.
È un metodo tanto vecchio quanto efficace, e colpisce anche realtà grandi e strutturate come Levi’s. Bastano tre account compromessi, come in questo caso, per aprire una breccia. Ecco perché sempre più aziende investono nella formazione del personale, oltre che nei classici sistemi di sicurezza informatica. La barriera tecnologica, per quanto solida, resta vulnerabile se chi la usa viene raggirato.
Per il momento Levi Strauss & Co. non ha fornito ulteriori dettagli su chi ci sia dietro l’attacco o su quale sia esattamente la natura delle informazioni interne sottratte. La comunicazione alla SEC rappresenta un passaggio obbligato per le società quotate, che devono segnalare episodi di questo tipo quando ritengono possano avere un peso rilevante. La scelta di rendere pubblica la vicenda va letta anche in quest’ottica di trasparenza verso gli investitori e il mercato.
