Levi Strauss meldt datadiefstal na social engineering bij drie medewerkers

Levi Strauss meldt dat een onbevoegde derde via social engineering toegang kreeg tot de bedrijfscomputers van drie medewerkers en daarna bedrijfsinformatie wegsluisde. Dat staat in een melding die het jeansmerk op 7 augustus 2026 bij de Amerikaanse beurstoezichthouder SEC indiende.

De ingang was geen kwetsbaarheid maar een gesprek. Er is geen lek gedicht en geen firewall doorbroken; drie mensen met geldige toegang waren genoeg om data het pand uit te krijgen. Voor een Nederlandse organisatie verschuift daarmee de vraag van "staat de beveiliging goed" naar "wat doet je servicedesk als er iemand belt die zegt dat hij van IT is". Dat tweede is een procedure die je deze week kunt vastleggen, zonder een euro aan licenties.

Wat er in de melding staat

Het bedrijf detecteerde het incident kort geleden, zette responsprotocollen en indammende maatregelen in gang en haalde externe securityspecialisten erbij. Uit de voorlopige bevindingen blijkt dat bepaalde bedrijfsinformatie is ingezien en weggesluisd. Levi Strauss zegt dat de snelle reactie de ongeautoriseerde toegang heeft ingedamd en beëindigd, dat er geen consumentendata is geraakt en dat de bedrijfsvoering niet is onderbroken. Het onderzoek loopt nog.

De formulering is smaller dan hij op het eerste gezicht lijkt. "Geen consumentendata" sluit niet uit dat er personeelsdossiers, contracten, prijsafspraken of leveranciersgegevens in de buit zitten, en juist die categorie is voor een handelspartner interessant. Levi Strauss telt ongeveer 19.000 medewerkers en zet zo'n 6,3 miljard dollar per jaar om, maar de aanval zelf schaalt niet mee met die omvang: drie accounts volstonden. Het bedrijf verwacht geen materieel effect op strategie, bedrijfsvoering of resultaten en zegt getroffen partijen en toezichthouders te informeren waar dat van toepassing is.

Geen dader, wel een golf

Niemand heeft de inbraak opgeëist. BleepingComputer kon online geen dadergroep vinden die de aanval op Levi's claimt, en de melding zelf noemt ook geen naam. De timing valt wel samen met iets groters. Op basis van domein- en internetdata kwam Reuters uit op meer dan tweehonderd bedrijven die in vijf weken doelwit werden van afpersers die hun slachtoffers opbellen, en Levi Strauss staat in die verzameling.

Die campagne kreeg een dag voor de melding een gezicht. Google Threat Intelligence Group schreef op 6 augustus de afpersmerken Redact, Pink, Helix en Falcon toe aan één groep die medewerkers op hun privémobiel belt en daarna data uit Microsoft 365 en Okta wegtrekt. De operator vervalst daarbij het nummer van de echte helpdesk en voert een verplichte passkey- of MFA-migratie op als reden voor het telefoontje; achter het namaakportaal onderschept een tussenliggende proxy het wachtwoord, de code en de sessie. Meerdere media leggen die link met het incident bij Levi Strauss, maar het bedrijf bevestigt hem niet en Google noemt het merk nergens. Er is dus een overlap in tijd en werkwijze, geen vastgestelde toeschrijving.

Het telefoontje als breekijzer is intussen een vast patroon. Eerder liet een vergelijkbare truc medewerkers tijdens een gesprek een frauduleuze OAuth-app koppelen aan hun Salesforce-omgeving, waarmee wachtwoordbeleid en multifactor-authenticatie in één keer irrelevant werden.

Waar de knop bij jou zit

Helpdeskverificatie is de afspraak dat een medewerker de identiteit van een beller altijd via een tweede, zelfgekozen kanaal controleert voordat er iets met toegang gebeurt. Het is geen product en kost geen licentie; het is een stuk procedure dat je opschrijft en oefent. Vier maatregelen raken precies de route die bij Levi Strauss werkte:

• Terugbellen in plaats van opnemen. Verifieer een helpdeskverzoek via het nummer in je eigen bedrijfsgids, nooit via de nummerweergave, want die is te vervalsen.
• Resets buiten het gesprek om. Een wachtwoord- of MFA-reset die tijdens een telefoontje wordt aangevraagd, bevestig je via een kanaal dat al vastlag, niet via het kanaal waarop de beller zich meldt.
• Alleen beheerde apparaten. Dwing in Entra ID of Okta af dat authenticatie alleen slaagt vanaf een apparaat dat in beheer is en een endpointagent draait, dan valt het privétoestel van de aanvaller buiten de boot.
• Phishingbestendige sleutels. Een FIDO2-sleutel of passkey bindt de inlog cryptografisch aan het echte domein, waardoor een lookalike-domein en een tussenproxy niets meer opleveren.

De logregels die zo'n overname verraden, van een MFA-registratie na mislukte inlogpogingen tot bulk-toegang met een script-user-agent, staan in de analyse van de bredere campagne.

Wat dit incident aan die golf toevoegt is geen nieuwe techniek maar een nieuw soort slachtoffer. De campagne mikte in juli op private equity, advocatenkantoren en ratingbureaus, en nu staat er een kledingmerk in de lijst. Wat de aanvaller zoekt zit in de identiteitslaag die overal hetzelfde is: een mailbox, een documentenmap, een account bij de identiteitsprovider. De selectie loopt daarmee niet langs je sector of je omzet, maar langs de vraag of iemand aan de telefoon jouw medewerker kan overtuigen. Dat maakt de procedure achter de servicedesk een beveiligingsmaatregel van dezelfde orde als een firewall, met dit verschil: die procedure staat nergens standaard aan.