El reciente ciberataque sufrido por Levi Strauss & Co. vuelve a poner sobre la mesa uno de los mayores desafíos de la seguridad informática empresarial: los delincuentes no siempre necesitan encontrar una vulnerabilidad avanzada para entrar en una compañía. En este caso, un tercero no autorizado consiguió acceder a sistemas corporativos después de utilizar técnicas de ingeniería social contra tres empleados de la empresa. La compañía estadounidense informó del incidente el 7 de agosto de 2026 y explicó que, aunque determinada información corporativa fue accedida y extraída, sus operaciones comerciales no se vieron interrumpidas y no esperaba un impacto material en sus resultados.
El episodio adquiere todavía más importancia porque no se trata de un ataque aislado dentro del panorama actual de amenazas digitales. La información disponible apunta a una campaña más amplia en la que los ciberdelincuentes han utilizado llamadas telefónicas, suplantaciones y otras técnicas de manipulación para intentar obtener acceso a numerosas organizaciones. Datos analizados durante las semanas previas mostraron que más de 200 empresas habían sido preparadas como posibles objetivos en una campaña de este tipo, lo que demuestra que los ataques basados en ingeniería social pueden desarrollarse a una escala considerable. El caso de Levi Strauss sirve así como ejemplo de una tendencia que afecta a empresas de sectores muy diferentes y que obliga a replantear la manera en que se entiende la ciberseguridad.
Un ciberataque que comenzó con las personas, no con una máquina
La ingeniería social es una de las técnicas más antiguas utilizadas por los ciberdelincuentes, pero en los últimos años ha adquirido una importancia extraordinaria dentro del panorama del ciberataque. En lugar de intentar vulnerar directamente un sistema informático, el atacante busca manipular a una persona para que entregue información, permita un acceso o realice una acción que facilite el ciberataque. Esta estrategia puede apoyarse en el correo electrónico, mensajes instantáneos, redes sociales o llamadas telefónicas, y normalmente intenta aprovechar factores humanos como la confianza, la urgencia, el miedo o la autoridad para ejecutar un ciberataque con mayores posibilidades de éxito.
En el caso de Levi Strauss, la empresa señaló que tres empleados fueron objetivo de una operación de ingeniería social que permitió a un tercero no autorizado acceder a sus sistemas. La compañía no ha explicado públicamente todos los detalles sobre la forma concreta en la que se produjo el engaño, por lo que no es posible afirmar con certeza si se utilizó una llamada telefónica, un correo electrónico, una página falsa u otro mecanismo de ciberataque. Lo que sí está confirmado es que el factor humano fue utilizado como vía de entrada y que, posteriormente, los atacantes consiguieron acceder y extraer determinada información corporativa, demostrando cómo un ciberataque puede comenzar sin necesidad de explotar directamente una vulnerabilidad tecnológica.
Este punto es especialmente relevante porque demuestra que incluso las organizaciones con importantes inversiones en seguridad siguen dependiendo de las decisiones que toman sus trabajadores frente a un posible ciberataque. Una empresa puede contar con sistemas avanzados de detección, autenticación multifactor, protección de dispositivos y controles de acceso, pero un atacante que consiga hacerse pasar por una persona legítima puede encontrar una vía alternativa para ejecutar un ciberataque. La pregunta deja de ser únicamente cómo proteger una red frente a un intruso y pasa a ser también cómo impedir que alguien consiga convencer a un empleado de que el intruso es una persona autorizada, especialmente cuando esa manipulación puede convertirse en el primer paso de un ciberataque de mayor alcance.
El verdadero peligro comienza después de conseguir el acceso
Para los ciberdelincuentes, conseguir una cuenta o entrar en un ordenador corporativo rara vez representa el objetivo definitivo de un ciberataque. El acceso inicial puede servir para explorar el entorno tecnológico de una compañía, identificar otros usuarios, localizar información de interés y determinar qué sistemas pueden ser alcanzados desde el dispositivo comprometido. Cuanto mayor sea el nivel de permisos de la cuenta afectada, mayores pueden ser también las posibilidades de ampliar un ciberataque y convertir una intrusión inicial en un problema de mayor alcance.
La información divulgada por Levi Strauss indica que los atacantes accedieron a determinados sistemas y extrajeron información corporativa durante el ciberataque. La empresa activó sus protocolos de respuesta, implementó medidas de contención y puso en marcha una investigación para determinar el alcance del incidente. Hasta ahora, la compañía ha indicado que el ciberataque no interrumpió sus operaciones y que no espera que tenga un impacto material sobre el negocio, aunque la investigación sigue siendo un elemento importante para conocer exactamente cómo se produjo el acceso y qué consecuencias pudo tener.
La diferencia entre acceder y extraer información también es fundamental para comprender la gravedad de un ciberataque. Una cuenta puede haber sido comprometida sin que necesariamente todos los documentos disponibles para ese usuario hayan sido robados, pero los investigadores necesitan revisar registros y sistemas para determinar qué actividad realizaron los atacantes durante el ciberataque. Esta tarea puede llevar tiempo, especialmente cuando la organización tiene miles de empleados, numerosos servicios en la nube, proveedores externos y sistemas conectados entre sí, ya que todos estos elementos pueden ampliar la superficie potencial de un ciberataque.
La información corporativa también es un objetivo de alto valor
Cuando se habla de ciberataques, buena parte de la atención suele centrarse en los datos personales de los consumidores. Sin embargo, la información interna de una empresa puede tener un enorme valor para un atacante y convertirse en uno de los principales objetivos de un ciberataque, incluso cuando no contiene números de tarjetas, contraseñas o datos médicos. Contratos, documentos financieros, estrategias comerciales, información sobre proveedores, comunicaciones internas, planes de productos y otros archivos pueden convertirse en activos valiosos para quienes buscan obtener dinero o preparar nuevos ciberataques.
Una empresa global como Levi Strauss maneja grandes cantidades de información relacionada con sus operaciones internacionales. La compañía tiene relaciones con fabricantes, proveedores, distribuidores, empleados, socios comerciales y plataformas tecnológicas, por lo que su entorno corporativo es necesariamente complejo y puede ofrecer diferentes oportunidades para un ciberataque. Un atacante que consiga información interna puede utilizarla no solamente para extorsionar a la organización, sino también para construir ciberataques más convincentes contra otras personas vinculadas con ella.
Por esa razón, una filtración no tiene necesariamente un efecto visible el mismo día en que se produce un ciberataque. Un documento robado puede aparecer meses después en una campaña de fraude, una conversación interna puede proporcionar información para suplantar a un directivo y una lista de contactos puede utilizarse para preparar nuevos ciberataques contra proveedores o empleados. La información corporativa puede funcionar como una pieza dentro de una cadena de operaciones que continúa mucho después de que la empresa haya cerrado técnicamente la brecha inicial, haciendo que las consecuencias de un ciberataque puedan prolongarse más allá del momento en que fue detectado.
Levi Strauss forma parte de una ola de ataques más amplia
El caso de la compañía de moda estadounidense se produjo en un contexto especialmente preocupante para las empresas, marcado por una creciente actividad de ciberataques dirigidos contra organizaciones de distintos sectores. Investigaciones citadas en los últimos días han identificado actividad contra numerosas organizaciones estadounidenses, incluidas entidades financieras, firmas de inversión, compañías y despachos profesionales. La campaña ha utilizado métodos de ingeniería social y llamadas telefónicas para intentar convencer a trabajadores de que proporcionen credenciales o permitan determinadas acciones que pueden facilitar un ciberataque.
Uno de los elementos más llamativos es la cantidad de organizaciones que pueden ser preparadas como objetivos dentro de una campaña de ciberataques. Los datos analizados por investigadores apuntaron a más de 200 empresas que habían sido objeto de una preparación digital durante aproximadamente cinco semanas, lo que sugiere un modelo de ataque organizado, coordinado y escalable. Esto cambia la percepción tradicional de la ciberdelincuencia, porque ya no se trata necesariamente de un delincuente que elige manualmente una empresa y desarrolla durante meses un ciberataque específico contra ella.
La escala permite a los atacantes aprovechar economías similares a las de una actividad empresarial legítima para multiplicar sus ciberataques. Pueden desarrollar guiones, identidades falsas, páginas web fraudulentas, infraestructura técnica y procedimientos que después utilizan contra diferentes organizaciones. Si una parte de las víctimas cae en la trampa, el esfuerzo puede resultar rentable aunque otras compañías consigan detectar el intento y bloquear el ciberataque antes de que llegue a comprometer sus sistemas.
Las llamadas telefónicas recuperan protagonismo
Durante años, el phishing por correo electrónico se convirtió en uno de los métodos más conocidos para distribuir enlaces falsos y robar contraseñas, pero los ciberataques recientes demuestran que el teléfono sigue siendo una herramienta extraordinariamente eficaz. Una llamada permite al atacante responder inmediatamente a las dudas del trabajador, crear sensación de urgencia y adaptar la conversación según las respuestas que recibe. Esta capacidad de modificar el ciberataque en tiempo real puede hacer que la manipulación resulte más convincente que un mensaje fraudulento enviado de forma masiva.
Una modalidad conocida como «vishing» utiliza precisamente las llamadas de voz para realizar operaciones de ingeniería social y facilitar un ciberataque. El atacante puede presentarse como un técnico del departamento informático, un responsable de seguridad, un compañero de trabajo o cualquier otra persona que tenga una razón aparentemente legítima para solicitar información. La conversación puede incluso incorporar datos reales sobre la empresa para aumentar la credibilidad del engaño y conseguir que la víctima no identifique inmediatamente el ciberataque.
El problema es que una llamada telefónica encaja perfectamente en las actividades normales de una compañía. Los trabajadores reciben diariamente llamadas de colegas, clientes, proveedores y departamentos internos, por lo que una solicitud inesperada no siempre parece sospechosa ni se interpreta como parte de un posible ciberataque. Si además la persona que llama conoce el nombre del empleado, su puesto o la estructura de la empresa, el engaño puede resultar todavía más convincente y aumentar las posibilidades de que el ciberataque avance.
La suplantación del departamento de tecnología es especialmente peligrosa
Los departamentos de tecnología tienen una ventaja natural cuando intentan comunicarse con los empleados: necesitan realizar solicitudes que pueden parecer extraordinarias y que forman parte de las tareas habituales de una empresa. Un trabajador puede recibir una petición para actualizar una contraseña, verificar una cuenta, instalar una herramienta, solucionar un problema de autenticación o confirmar un dispositivo. Muchas de estas acciones son perfectamente normales dentro de una empresa moderna, lo que permite que un ciberataque basado en la suplantación de personal técnico pueda pasar inadvertido.
Precisamente por eso, los delincuentes pueden intentar hacerse pasar por personal de soporte técnico durante un ciberataque. La persona que recibe la llamada puede pensar que está colaborando para solucionar un problema y no que está abriendo una puerta a un atacante. Una vez obtenidas determinadas credenciales o códigos, el delincuente puede intentar utilizarlos para acceder a servicios corporativos y ampliar el alcance del ciberataque dentro de la organización.
Las campañas de este tipo también pueden aprovechar sistemas de autenticación legítimos para hacer que un ciberataque parezca una actividad normal. Si el atacante consigue que un empleado apruebe una solicitud de acceso que él mismo ha generado, la acción puede parecer inicialmente como una actividad autorizada. De ahí la importancia de combinar la autenticación multifactor con mecanismos capaces de evaluar el contexto de cada inicio de sesión, identificar comportamientos anómalos y detener un ciberataque antes de que el acceso obtenido pueda utilizarse para comprometer otros sistemas.
La autenticación multifactor ya no es suficiente por sí sola
La autenticación multifactor se ha convertido en una de las medidas fundamentales para proteger las cuentas empresariales frente a un posible ciberataque. El principio consiste en exigir más de un elemento para verificar la identidad del usuario, reduciendo el riesgo de que una contraseña robada sea suficiente para acceder a un sistema y ejecutar un ciberataque. Sin embargo, los atacantes han desarrollado métodos destinados a engañar también a las personas durante ese segundo paso de autenticación.
Un empleado puede recibir una solicitud de autenticación que en realidad fue iniciada por un atacante y aprobarla creyendo que se trata de una operación legítima, facilitando así un ciberataque. También puede proporcionar un código de un solo uso durante una llamada fraudulenta o introducirlo en una página que imita un servicio corporativo y que forma parte de la infraestructura utilizada para ejecutar el ataque. La existencia de un segundo factor mejora la seguridad, pero no elimina el riesgo cuando el propio usuario es manipulado durante un ciberataque.
Por ello, las organizaciones necesitan avanzar hacia sistemas que reduzcan la posibilidad de que los usuarios sean engañados para aprobar accesos fraudulentos y que permitan detectar un ciberataque incluso cuando se utilizan credenciales aparentemente válidas. Los métodos resistentes al phishing, los controles basados en dispositivos confiables, la evaluación contextual de las sesiones y las políticas de acceso condicional pueden ofrecer capas adicionales de protección frente a un ciberataque. La cuestión fundamental es que la identidad debe comprobarse de manera continua y no únicamente en el momento de introducir una contraseña, ya que un acceso legítimo puede convertirse posteriormente en el punto de entrada de un ciberataque.
La segmentación puede limitar los daños
Una de las lecciones más importantes de los ataques de ingeniería social y de los incidentes de ciberseguridad es que una organización debe prepararse para el momento en que una cuenta sea comprometida durante un ciberataque. Una estrategia eficaz consiste en limitar lo que puede hacer cada usuario y cada dispositivo dentro de la red, de manera que un atacante tenga más dificultades para ampliar el alcance del ciberataque. Si un empleado solamente necesita acceder a determinadas aplicaciones, no debería tener automáticamente permisos para consultar todos los sistemas corporativos.
Este principio, conocido como mínimo privilegio, puede reducir considerablemente el impacto de un ciberataque y limitar las posibilidades de movimiento de un atacante. Si una cuenta es utilizada por un ciberdelincuente, sus posibilidades de desplazamiento serán más limitadas si los sistemas están separados y los permisos están cuidadosamente definidos. La segmentación también puede impedir que un incidente localizado se convierta rápidamente en un ciberataque generalizado capaz de afectar a múltiples áreas de una organización.
El mismo razonamiento puede aplicarse a los dispositivos corporativos y a la supervisión de su actividad para detectar señales de un posible ciberataque. Una empresa debe ser capaz de identificar qué equipos están conectados, qué actividad realizan y qué aplicaciones ejecutan, especialmente cuando existe una sospecha de ciberataque. Cuando un ordenador comienza a comportarse de manera diferente a su patrón habitual, esa anomalía puede convertirse en una señal de alerta que permita intervenir antes de que el atacante pueda avanzar, comprometer otros sistemas o realizar una extracción importante de información.
El caso de Levi Strauss demuestra que la ciberseguridad empresarial está entrando en una etapa en la que las fronteras entre el fraude tradicional y el ciberataque son cada vez más difusas. Una llamada telefónica puede ser el comienzo de una intrusión digital, una conversación puede terminar comprometiendo una cuenta corporativa y una persona puede convertirse en el punto de entrada a una infraestructura tecnológica completa. Los atacantes están aprovechando esa conexión entre el comportamiento humano y los sistemas digitales para desarrollar ciberataques cada vez más escalables, personalizados y difíciles de identificar.
La compañía consiguió contener el incidente y ha señalado que sus operaciones no fueron interrumpidas y que no espera un impacto material en sus resultados. Sin embargo, la extracción de información corporativa y el hecho de que tres empleados fueran utilizados como vía de acceso muestran que incluso las empresas globales continúan expuestas a técnicas relativamente sencillas cuando estas se combinan con una buena preparación y una manipulación eficaz. El ciberataque demuestra, además, que disponer de sistemas tecnológicos avanzados no elimina por completo el riesgo, ya que los ciberdelincuentes pueden intentar aprovechar el comportamiento humano para superar determinadas barreras de seguridad.
Más allá de Levi Strauss, la principal advertencia afecta a todas las organizaciones que dependen de sistemas digitales. Proteger una empresa frente a un ciberataque ya no consiste únicamente en levantar barreras alrededor de sus servidores, sino también en proteger identidades, verificar solicitudes, limitar privilegios, vigilar comportamientos y preparar a toda la organización para responder cuando una defensa falle. En un panorama donde cientos de compañías pueden convertirse simultáneamente en objetivos, la estrategia de ciberseguridad debe asumir que los atacantes intentarán entrar por el camino que resulte más fácil.
Y ese camino no siempre será una vulnerabilidad informática. A veces será una llamada aparentemente rutinaria, una solicitud urgente de soporte técnico o una conversación cuidadosamente preparada para facilitar un ciberataque. La experiencia de Levi Strauss demuestra que el factor humano sigue siendo uno de los terrenos más disputados de la ciberseguridad moderna y que las empresas que quieran reducir sus riesgos tendrán que proteger tanto sus sistemas como a las personas que los utilizan.
Por ello, contar con una estrategia integral de prevención, detección y respuesta resulta fundamental para reducir la exposición a un ciberataque y limitar sus consecuencias. ITD Consulting puede ayudar a las organizaciones a fortalecer su infraestructura tecnológica, mejorar sus controles de seguridad, identificar riesgos y desarrollar estrategias de protección adaptadas a las necesidades de cada empresa. Si quieres evaluar el nivel de seguridad de tu organización, prevenir posibles ciberataques y contar con el respaldo de especialistas en tecnología e IT, puedes ponerte en contacto con ITD Consulting escribiendo a [email protected].
ES 
EN