Levi Strauss tiết lộ vụ tấn công bằng social engineering

Levi Strauss & Co. đã xác nhận rằng tin tặc đã truy cập trái phép vào dữ liệu doanh nghiệp sau khi lừa ba nhân viên trao quyền truy cập vào máy tính do công ty cấp. Gã khổng lồ ngành may mặc đã công bố sự việc vào ngày 7 tháng 8 năm 2026, cho biết một bên thứ ba trái phép đã sử dụng các thủ đoạn social engineering để xâm nhập các máy tính và đánh cắp thông tin được lưu trữ trên đó.

Công ty chưa nêu chi tiết chính xác dữ liệu nào đã bị lấy đi, kẻ tấn công là ai, hay chúng đã sử dụng công cụ gì để thực hiện vụ xâm nhập. Nhưng điều công ty đã xác nhận cũng quan trọng không kém: không có bằng chứng nào cho thấy ransomware đã được triển khai, không có yêu cầu đòi tiền chuộc nào được đưa ra, và không có nỗ lực tống tiền nào sau đó. Điều này phân biệt vụ việc này với các vụ tấn công bằng ransomware thường xuyên xuất hiện trên mặt báo, bao gồm các trường hợp gần đây như vụ băng đảng ransomware Qilin tuyên bố tấn công Cpcg của Brazil, nơi kẻ tấn công kết hợp đánh cắp dữ liệu với các yêu cầu tống tiền.

Cách social engineering vượt qua hàng phòng thủ của Levi's

Các cuộc tấn công social engineering không dựa vào việc khai thác lỗ hổng phần mềm. Thay vào đó, chúng thao túng con người để tự nguyện trao quyền truy cập, thường thông qua các email lừa đảo tinh vi, cuộc gọi mạo danh, hoặc yêu cầu hỗ trợ CNTT giả mạo. Trong trường hợp của Levi Strauss, kỹ thuật này đã hiệu quả đến mức xâm nhập được ba máy tính riêng biệt do công ty cấp, cho thấy kẻ tấn công có thể đã tiến hành một chiến dịch phối hợp nhắm vào nhiều nhân viên thay vì chỉ một cú lừa phishing may mắn duy nhất.

Mô hình này là lời nhắc nhở rằng ngay cả những tập đoàn có nguồn lực dồi dào với các chương trình bảo mật trưởng thành vẫn dễ bị tổn thương trước các cuộc tấn công nhắm vào khả năng phán đoán của con người thay vì tường lửa hay mã hóa. Không có bản vá nào sửa được một cuộc gọi điện thuyết phục từ kẻ giả danh nhân viên CNTT nội bộ. Việc thiếu các chi tiết về khai thác kỹ thuật trong công bố của Levi's cũng nhấn mạnh cách những sự việc này khó phát hiện nhanh chóng hơn, vì truy cập ban đầu thường trông giống như hoạt động hợp pháp của nhân viên cho đến khi dữ liệu bắt đầu bị đưa ra ngoài.

Những điều chúng ta vẫn chưa biết

Lỗ hổng lớn nhất trong công bố của Levi Strauss là phạm vi. Công ty đã tuyên bố rằng "thông tin doanh nghiệp không xác định" đã bị đánh cắp, nhưng chưa làm rõ liệu dữ liệu đó có bao gồm hồ sơ khách hàng, thông tin cá nhân của nhân viên, dữ liệu tài chính, hay chỉ là các tài liệu kinh doanh nội bộ thuần túy. Cho đến khi Levi Strauss hoặc các cơ quan quản lý cung cấp thêm chi tiết, nhân viên, đối tác hoặc khách hàng bị ảnh hưởng khó có thể đánh giá mức độ rủi ro của chính mình.

Sự mơ hồ kiểu này thường gặp trong các công bố vi phạm ở giai đoạn đầu, nhưng nó cũng gây ra những hậu quả thực tế. Các khuôn khổ quản lý trên khắp thế giới đang ngày càng yêu cầu báo cáo vi phạm nhanh hơn, rõ ràng hơn chính là để thu hẹp lỗ hổng này. Hạn chót của Đạo luật DPDP sắp tới của Ấn Độ minh họa cho hướng đi mà luật bảo mật toàn cầu đang tiến tới, trao cho cá nhân nhiều quyền cụ thể hơn để biết điều gì đã xảy ra với dữ liệu của họ và khi nào. Các công ty hoạt động quốc tế, bao gồm một thương hiệu toàn cầu như Levi Strauss, sẽ phải đối mặt với áp lực ngày càng tăng trong việc công bố chi tiết cụ thể thay vì các bản tóm tắt mơ hồ, đặc biệt nếu các cơ quan quản lý bắt đầu coi các công bố không đầy đủ là một rủi ro tuân thủ, tương tự như cách Ủy ban Bảo vệ Dữ liệu Ireland đã phạt HSE 300.000 euro sau khi một vụ ransomware làm lộ dữ liệu bệnh nhân.

Điều này có ý nghĩa gì với bạn

Nếu bạn là nhân viên, đối tác kinh doanh hoặc khách hàng của Levi Strauss, hiện chưa có bằng chứng xác nhận rằng dữ liệu cá nhân của bạn nằm trong số bị ảnh hưởng bởi vụ vi phạm này. Dù vậy, việc thiếu chi tiết có nghĩa là bạn nên cảnh giác thay vì cho rằng mình không bị ảnh hưởng. Hãy chú ý đến các nỗ lực phishing đề cập đến Levi Strauss, hoạt động tài khoản bất thường liên quan đến bất kỳ dịch vụ nào của Levi's, và các thông báo chính thức từ công ty về vụ việc.

Rộng hơn, vụ vi phạm này là một nghiên cứu tình huống hữu ích cho bất kỳ ai làm việc trong môi trường doanh nghiệp. Social engineering không yêu cầu phần mềm độc hại tinh vi hay các lỗ hổng zero-day, nó chỉ cần một tin nhắn thuyết phục và một nhân viên tin vào nó. Điều đó khiến cho việc đào tạo nâng cao nhận thức bảo mật liên tục, các giao thức xác minh cho yêu cầu CNTT, và xác thực đa yếu tố trở nên có giá trị hơn nhiều so với hầu hết mọi người nhận ra.

Những điều thiết thực có thể áp dụng

Đối với cá nhân và tổ chức muốn giảm thiểu rủi ro trước các cuộc tấn công social engineering, một số bước thực tế nổi bật:

  • Xác minh các yêu cầu CNTT hoặc hỗ trợ bất ngờ thông qua một kênh liên lạc riêng biệt, đã biết trước khi trao quyền truy cập vào bất cứ thứ gì.
  • Kích hoạt xác thực đa yếu tố trên tất cả các tài khoản doanh nghiệp, vì nó tạo thêm một rào cản ngay cả khi thông tin đăng nhập bị xâm phạm.
  • Xem xét kỹ lưỡng hơn các yêu cầu khẩn cấp hoặc gây áp lực, đặc biệt là những yêu cầu liên quan đến truy cập từ xa hoặc đặt lại thông tin đăng nhập.
  • Theo dõi các tuyên bố chính thức từ Levi Strauss để cập nhật về phạm vi của vụ vi phạm và bất kỳ danh mục dữ liệu nào bị ảnh hưởng.

Vụ vi phạm bằng social engineering của Levi Strauss có thể không liên quan đến ransomware hay một yêu cầu tiền chuộc gây chú ý, nhưng đó là một tín hiệu rõ ràng rằng các cuộc tấn công nhắm vào con người vẫn là một trong những cách hiệu quả nhất để xâm nhập ngay cả các tổ chức lớn, có nguồn lực dồi dào. Khi có thêm chi tiết xuất hiện, quy mô thực sự của dữ liệu doanh nghiệp bị lộ sẽ trở nên rõ ràng hơn, và sự rõ ràng đó sẽ quan trọng đối với bất kỳ ai có liên quan đến công ty.