Levi Strauss, üç çalışanı hedef alan sosyal mühendislik saldırısıyla veri ihlali yaşadı

Kot pantolon üreticisi Levi Strauss & Co., 7 Ağustos’ta yaptığı açıklamada bir siber güvenlik olayı yaşadığını duyurdu. Şirkete göre yetkisiz bir üçüncü taraf, sosyal mühendislik saldırısı yoluyla üç şirket bilgisayarına erişim sağlayarak belirli kurumsal bilgileri dışarı sızdırdı.

Saldırı nasıl gerçekleşti

Levi Strauss’un düzenleyici kuruma sunduğu açıklamaya göre saldırganlar, teknik bir açığı istismar etmek yerine çalışanları manipüle ederek üç şirket bilgisayarına erişim elde etti. Şirket, olayı tespit ettikten sonra containment (sınırlama) önlemleri uyguladığını ve bir soruşturma başlattığını belirtti. Ön bulgular, belirli kurumsal bilgilerin erişildiğini ve dışarı çıkarıldığını gösteriyor; tüketici verilerinin etkilenmediği açıkça ifade edildi.

Şirketin değerlendirmesi

Levi Strauss, olayın günlük operasyonlarını aksatmadığını ve iş stratejisi, operasyonlar, mali durum veya faaliyet sonuçları üzerinde maddi bir etki yaratmasını beklemediğini açıkladı. Etkilenen çalışan/kişi sayısına dair somut bir rakam paylaşılmadı.

Daha geniş kampanya bağlamı

Bildirilere göre bu saldırı, beş haftalık bir süre içinde 200’den fazla işletmeyi hedef alan daha geniş bir sosyal mühendislik dalgasının parçası. Aynı kampanyanın hedefleri arasında finans sektörü şirketlerinin yanı sıra Uber, Zillow ve Paul Hastings, Greenberg Traurig gibi hukuk firmaları da yer alıyor. Levi Strauss, 2025-2026 döneminde benzer sosyal mühendislik saldırılarına maruz kalan De Bijenkorf, Mango, The North Face, Harrods ve M&S gibi perakende şirketlerinin oluşturduğu listeye ekleniyor.

Neden önemli

Olay, saldırganların artık doğrudan sistem açıklarından çok insan zaafını hedef aldığını bir kez daha gösteriyor. Perakende sektöründe art arda yaşanan benzer vakalar, çalışan kimlik doğrulama süreçlerinin (özellikle BT destek hattı ve şifre sıfırlama akışlarının) sosyal mühendisliğe karşı ne kadar savunmasız kalabildiğini ortaya koyuyor. Kurumlar için çıkarım net: teknik yama disiplini tek başına yeterli değil, çok faktörlü kimlik doğrulama ve çalışan farkındalık eğitimi aynı önceliğe sahip olmalı.