A Levi Strauss & Co. comunicou ao regulador norte-americano que um terceiro não autorizado conseguiu aceder a ficheiros da empresa depois de comprometer computadores de trabalhadores. Num documento entregue à Securities and Exchange Commission (SEC), a empresa de vestuário indicou que um terceiro não autorizado acedeu e exfiltrou determinada informação empresarial após obter acesso a três computadores atribuídos pela empresa, através de um ataque de engenharia social, não tendo especificado que tipo de dados corporativos foram retirados. O caso é relevante menos pelo volume de dados — que a empresa não quantifica — e mais pelo método: não houve exploração de uma vulnerabilidade técnica, houve manipulação de pessoas.
Resposta rápida: A Levi Strauss revelou a 7 de agosto de 2026, em comunicação à SEC, que atacantes acederam a três computadores corporativos por engenharia social e exfiltraram informação da empresa. A companhia afirma ter contido o incidente, não ter registado interrupção de operações e não ter indícios de dados de consumidores afetados. O caso surge na mesma semana de uma vaga de vishing contra grandes gestoras de ativos nos EUA. Ação recomendada: rever os procedimentos de verificação de identidade no help desk antes de reposições de palavra-passe ou de MFA.
O que a Levi Strauss comunicou ao regulador
A comunicação foi feita através de um formulário 8-K, o mecanismo pelo qual as empresas cotadas nos Estados Unidos divulgam eventos relevantes aos investidores. Segundo o teor da comunicação, foram implementadas medidas para conter o incidente e foi iniciada uma investigação, indicando as conclusões preliminares que determinada informação empresarial foi acedida e extraída, sem perturbação da atividade diária nem impacto material esperado nas operações ou nos resultados financeiros. A empresa afirmou não acreditar que o incidente tenha tido, ou seja razoavelmente suscetível de vir a ter, um impacto material na sua estratégia de negócio, operações, condição financeira ou resultados.
Há, contudo, mais perguntas do que respostas. A empresa não identificou os atacantes, não esclareceu se houve ransomware envolvido nem se recebeu qualquer pedido de resgate; nenhum grupo reivindicou publicamente a responsabilidade e a investigação prossegue. A Levi’s esclareceu que não foram afetados dados de consumidores, disse ter conseguido conter o incidente e notificado partes afetadas e reguladores, e contratou peritos externos de cibersegurança para a investigação em curso.
Para dimensionar o alvo: a empresa, sediada em São Francisco e mais conhecida pela marca de ganga Levi’s, opera perto de 3300 lojas em todo o mundo, emprega cerca de 19 mil pessoas, gerou 6,3 mil milhões de dólares de receita líquida no último ano e tem uma capitalização bolsista superior a 9 mil milhões de dólares.
Cronologia do que se sabe
| Data | Acontecimento |
|---|---|
| 5 de agosto de 2026 | Vaga coordenada de vishing visa grandes gestoras de ativos e fundos nos EUA |
| 6 de agosto de 2026 | Firmas visadas confirmam tentativas; uma delas afirma ter bloqueado o ataque |
| 7 de agosto de 2026 | Levi Strauss divulga à SEC o comprometimento de três computadores corporativos |
| Em curso | Investigação com peritos externos; sem reivindicação pública nem atribuição |
Importa sublinhar que não existe qualquer ligação confirmada entre o incidente da Levi Strauss e a campanha contra o setor financeiro. A proximidade temporal é notada pelos analistas, mas nenhuma entidade estabeleceu, até ao momento, uma relação entre os dois casos.
Porque é que o telefone se tornou a porta de entrada preferida
O relatório M-Trends 2026, da Mandiant (Google), traça um retrato claro desta mudança. O phishing por email caiu para apenas 6% das intrusões em 2025, à medida que os controlos técnicos automatizados melhoraram, e no seu lugar os adversários passaram para engenharia social por voz, altamente interativa, com grupos como o UNC3944 a visar help desks de TI para contornar a autenticação multifator e obter acesso inicial a ambientes SaaS. O vetor de infeção inicial mais comum continuou a ser a exploração de vulnerabilidades, com 32% dos casos, seguido de phishing com 11%; já nos comprometimentos de nuvem, o phishing por voz foi o vetor inicial mais frequente, com 23% das intrusões.
| Vetor de acesso inicial (M-Trends 2026) | Peso |
|---|---|
| Exploração de vulnerabilidades | 32% |
| Phishing (incluindo por voz) | 11% |
| Comprometimento anterior | 10% |
| Credenciais roubadas | 9% |
| Phishing por email (isoladamente) | 6% |
A Mandiant nota que, enquanto o phishing por email depende de volume e entrega oportunista, os métodos interativos envolvem uma pessoa a conduzir a conversa em tempo real — o que os torna, na prática, muito mais resistentes a filtros e a controlos automáticos. É exatamente esse o ponto cego que um ataque como o descrito pela Levi Strauss explora.
A vaga que atingiu o setor financeiro na mesma semana
A divulgação da Levi’s ocorre poucos dias depois de uma campanha coordenada contra grandes gestoras. Segundo relatos, a Point72 alertou investidores para o ataque, afirmando que não foram acedidos dados de clientes, enquanto a Two Sigma declarou que a sua equipa de segurança respondeu rapidamente a uma tentativa de campanha de vishing dirigida à empresa e a outras gestoras, sem indicação de impacto nos dados ou sistemas. A FINRA, que supervisiona os corretores nos EUA, disse ter contactado as firmas suas associadas sobre as tentativas recentes, tendo criado em março um Financial Intelligence Fusion Center para partilha de informação sobre fraude no setor.
Sobre o modo de operação, um alerta da firma jurídica Akin Gump descreve o padrão observado: contacto iniciado por voz, muitas vezes fazendo-se passar por pessoal de help desk, com o objetivo de encaminhar os colaboradores para uma página de recolha de credenciais que imita as páginas da própria vítima; em muitos casos o primeiro contacto é feito para telemóveis pessoais e, obtidas as credenciais, os atacantes autenticam-se em sistemas de armazenamento de dados, extraem informação sensível e extorquem as vítimas com pedidos de sete dígitos — tendo estas campanhas sido usadas com sucesso contra pelo menos 20 empresas.
O retalho, sublinhe-se, não é uma exceção nesta tendência. A cadeia neerlandesa De Bijenkorf indicou que um ciberataque a um dos seus operadores logísticos atrasou encomendas, devoluções e reembolsos, com potencial exposição de informação de clientes; a Mango e a The North Face divulgaram violações de dados no ano passado, e os retalhistas britânicos Harrods, M&S e Co-op enfrentaram incidentes de cibersegurança em 2025.
Medidas concretas de mitigação
- Definir um procedimento escrito de verificação de identidade no help desk antes de qualquer reposição de palavra-passe, registo de novo dispositivo MFA ou desbloqueio de conta — com validação por canal alternativo (por exemplo, chefia direta) e nunca apenas com dados que constam do LinkedIn.
- Adotar MFA resistente a phishing (chaves FIDO2/WebAuthn ou passkeys) para administradores, financeiro, RH e acessos a plataformas SaaS críticas.
- Impor período de espera e dupla aprovação para o registo de novos dispositivos de autenticação e para alterações de dados bancários de fornecedores.
- Monitorizar logins a partir de dispositivos e geografias novas, sessões concorrentes e criação de aplicações OAuth não aprovadas nos ambientes de nuvem.
- Treinar as equipas para desligar e voltar a ligar por um número oficial sempre que uma chamada peça credenciais, códigos ou instalação de software de acesso remoto.
- Registar e reportar tentativas ao CERT.PT, mesmo quando falham: a notificação permite acompanhar a evolução das campanhas e indicar medidas de mitigação.
Porque é que isto importa em Portugal
O fenómeno não é importado. No relatório de cibersegurança do Observatório do CNCS, o vishing surge como a técnica de engenharia social mais observada pelo CERT.PT, identificada em 170 incidentes (18,31% do total), o que representou um aumento de 136%, seguida da CEO Fraud com 166 incidentes (17,89%), num crescimento de 164% face ao ano anterior. Ou seja: o telefone já é, também no ciberespaço de interesse nacional, um dos principais vetores de ataque contra organizações e cidadãos.
Para empresas portuguesas, a leitura tem consequências práticas. O novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a Diretiva NIS2, obriga as entidades abrangidas a adotar medidas de gestão de risco — incluindo higiene informática, formação e controlo de acessos — e a notificar incidentes significativos ao CNCS dentro de prazos apertados. Um comprometimento iniciado por uma chamada telefónica conta exatamente da mesma forma que um iniciado por uma CVE.
Há ainda a dimensão de proteção de dados. Se a informação exfiltrada incluir dados pessoais de colaboradores, clientes ou parceiros, aplica-se o RGPD, com a obrigação de notificar a CNPD em 72 horas sempre que a violação represente risco para os direitos e liberdades das pessoas, e de comunicar aos titulares quando o risco for elevado. No caso da Levi’s, a empresa afirma não ter indícios de dados de consumidores afetados — mas “informação empresarial” pode conter dados de trabalhadores, contratos e propriedade intelectual, ativos cujo valor de extorsão é frequentemente subestimado. Para uma PME sem equipa de segurança dedicada, a lição é simples: o controlo mais barato e mais eficaz continua a ser um procedimento claro para dizer “não” a um pedido urgente feito ao telefone.
Perguntas frequentes
Os dados dos clientes da Levi’s foram comprometidos?
Segundo a comunicação da empresa ao regulador norte-americano, não há indícios de que dados de consumidores tenham sido afetados. A empresa refere apenas a exfiltração de informação empresarial, sem detalhar a sua natureza, e a investigação continua em curso.
O que é o vishing e porque é tão eficaz?
É o phishing realizado por chamada telefónica. É eficaz porque a conversa é interativa e conduzida em tempo real por uma pessoa, o que lhe permite adaptar-se às dúvidas da vítima e contornar filtros de email e outros controlos automáticos que travariam uma mensagem escrita.
A autenticação multifator protege contra este tipo de ataque?
Protege parcialmente. Muitos ataques recentes visam precisamente o help desk para conseguir reposições de credenciais e de MFA, registando depois um dispositivo controlado pelo atacante. Métodos resistentes a phishing, como chaves FIDO2 ou passkeys, reduzem significativamente esse risco.
Uma PME portuguesa tem de notificar um incidente destes?
Depende. Se estiver abrangida pelo Regime Jurídico da Cibersegurança, deve notificar incidentes significativos ao CNCS nos prazos legais. Se houver dados pessoais comprometidos com risco para os titulares, aplica-se a notificação à CNPD em 72 horas ao abrigo do RGPD. Em caso de dúvida, contacte o CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Levi Strauss & Co. em comunicação à SEC, pelo CNCS/CERT.PT, pela Mandiant (Google) e por outras fontes citadas.