リーバイス、ソーシャルエンジニアリング型サイバー攻撃で情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月10日更新日時: 2026年08月10日

米デニムアパレル大手のLevi Strauss & Co.（リーバイ・ストラウス、NYSE：LEVI）は2026年8月7日、米証券取引委員会（SEC）へのForm 8-K提出を通じて、サイバーセキュリティインシデントが発生し、第三者がソーシャルエンジニアリングの手口で従業員3名の会社支給パソコンへ不正にアクセスし、企業ファイルを窃取したことを開示しました。同社は、迅速な対応により不正アクセスを封じ込め・終了させたとしたうえで、消費者データへの影響はないとしています。

この記事のサマリー

Levi Strauss & Co.は2026年8月7日、SECへのForm 8-K提出を通じてサイバーセキュリティインシデントを開示しました。
第三者がソーシャルエンジニアリングの手口を用い、従業員3名の会社支給パソコンへ不正にアクセスしたとされています。
予備的な調査結果として、一定の企業情報がアクセスされ、外部へ持ち出された（exfiltrated）と同社は説明しています。
同社は、迅速な対応により不正アクセスを封じ込め・終了させたとしたうえで、消費者データへの影響はなく、事業運営への支障も発生していないとしています。
具体的にどのような種類の企業データが窃取されたかは、本記事執筆時点で公表されていません。
同社は、本件が事業戦略・運営・財務状況・業績に重大な影響を及ぼす可能性は低いとの見解を示しています。
影響を受けた当事者および関係する規制当局への通知を、適用される法令に従って実施済み・実施予定としています。

整理表

項目	内容
開示日	2026年8月7日（Form 8-K、Item 8.01）
開示企業	Levi Strauss & Co.（NYSE：LEVI）
インシデントの種別	ソーシャルエンジニアリング攻撃による従業員端末への不正アクセス
影響を受けた従業員数	3名（会社支給パソコン）
窃取されたデータ	一定の企業情報（具体的な内容は非公表）
消費者データへの影響	なし（同社の説明）
事業運営への影響	支障なし（同社の説明）
対応状況	対応プロトコルの発動、封じ込め措置の実施、第三者セキュリティ専門家の起用、調査継続中
財務・業績への重大な影響	現時点で重大な影響が生じる可能性は低いと同社は説明
規制当局・被害者への通知	適用法令に従い実施済み・実施予定
提出書類の署名者	David Jedrzejek氏（シニア・バイスプレジデント兼ゼネラルカウンセル）

何が起きたか

Levi Strauss & Co.がSECに提出したForm 8-Kによると、同社は最近、サイバーセキュリティインシデントを検知しました。第三者がソーシャルエンジニアリングの手口を用いて、従業員3名の会社支給パソコンへの不正アクセスを可能にし、これを通じて企業ファイルにアクセスしたというものです。検知後、同社は対応プロトコルを発動し、封じ込め措置を実施したうえで調査を開始し、現在も調査が継続中であるとしています。あわせて、外部の第三者サイバーセキュリティ専門家の協力を得ているとしています。

同社の調査における予備的な結果として、一定の企業情報が本件により第三者にアクセスされ、外部へ持ち出された（exfiltrated）と考えられるとしています。ただし、この企業情報が具体的にどのような種類のものかについては、本記事執筆時点で開示されていません。同社は、迅速な対応の結果、不正アクセスの封じ込めと終了に成功したと考えているとしたうえで、消費者データへの影響はなかったとしています。また、本件による事業運営の中断は発生していないとしています。

財務・法的な位置づけ

Levi Strauss & Co.は今回の開示の中で、本記事執筆時点で把握している情報にもとづく限り、本件が同社の事業戦略・事業運営・財務状況・業績に対して重大な影響を及ぼした、または及ぼす可能性が高いとは考えていないとの見解を示しています。あわせて、影響を受けた当事者および関係する規制当局に対し、適用される法令に従って通知を行った、または行う予定であるとしています。

この開示は、米SECが2023年に導入した、上場企業に対するサイバーセキュリティインシデントの重要事象（Item 1.05）開示規則とは別に、Item 8.01（その他の事象）として提出されている点が特徴です。これは、同社が本件を投資家にとって重要性（materiality）を満たす事象とまでは判断していないものの、社会的関心の高さや透明性の観点から、任意に開示する形を取ったとみられます。

ソーシャルエンジニアリングという手口について

今回の開示では、攻撃者がどのような具体的な手法（フィッシングメール、なりすまし電話、偽のITサポート窓口を装う手口など）を用いて従業員を欺いたのかは明らかにされていません。近年、米連邦捜査局（FBI）をはじめとする当局は、技術的な脆弱性を突く攻撃ではなく、従業員本人を心理的に誘導して認証情報やアクセス権限を引き出す、ソーシャルエンジニアリングを起点とした攻撃キャンペーンの増加について繰り返し注意を呼びかけています。技術的な防御を固めていても、従業員個人が標的にされ、正規の権限を持つ人物として振る舞う攻撃者に騙されてしまえば、境界防御を迂回して内部データへ到達されてしまう点が、この種の攻撃の特徴です。

ソーシャルエンジニアリングの基本的な手口や、技術的な脆弱性ではなく人間の心理的な隙を突くという性質については、当サイトのソーシャルエンジニアリングとは手法や手口を解説で、暗号資産取引所コインベースの実例を交えて解説しています。また、実際にソーシャルエンジニアリングを起点として組織への侵入に至った事例として、正規のシステムエラーを装いユーザー自身に悪意あるコマンドを実行させる「ClickFix」と呼ばれる手口についてはClickFix（クリックフィックス）とは？特徴や攻撃の流れ、対策を解説で、業務連絡や協業の打診といった自然な文脈で数週間かけて信頼関係を築いたうえで侵入する手口についてはNode.jsメンテナーを狙う組織的ソーシャルエンジニアリング型サイバー攻撃キャンペーンで、それぞれ詳しく解説しています。今回のLevi Straussの事案でも、こうした事例に見られるような、時間をかけて標的の警戒心を下げていく手口が使われた可能性は否定できません。

情報システム部門が確認すべき対策ポイント

従業員が「情報システム部門」「IT サポート」「経営幹部」などを名乗る予期しない連絡（電話・チャット・メール）を受けた際に、正規の担当者であることをどう確認するか、社内の検証手順を明確にしてください。
会社支給端末に対するリモートアクセス・画面共有・遠隔操作ツールの利用を、IT部門が許可した特定のツール・手順に限定し、それ以外の要求には応じないよう周知してください。
特定の従業員（経理・法務・役員秘書など機微な情報にアクセスできる立場の人物）を狙う、標的を絞ったソーシャルエンジニアリング攻撃のリスクを踏まえ、こうした役割の従業員に対する重点的な教育・訓練を検討してください。
万が一、従業員が不審な誘導に応じてしまった場合に、速やかに報告できる窓口と、報告した従業員を責めない文化を整備してください。早期の報告が被害の封じ込めを左右します。
自社が上場企業である場合、同種のインシデントが発生した際の開示要否（Item 1.05の重要性判断、Item 8.01としての任意開示の是非）について、法務・IR部門とあらかじめ対応方針を協議しておくことをおすすめします。