Levi’s werd gehackt met drie telefoontjes

TL;DR: Levi Strauss meldde op 7 augustus 2026 bij de Amerikaanse beurstoezichthouder SEC een inbraak. Geen kwetsbaarheid, geen ontbrekende patch, geen gekraakt wachtwoord. Drie medewerkers werden overtuigd, en daarmee lagen bedrijfsbestanden op straat. Als dit soort aanvallen de norm is, koop je met je volgende securitylicentie vooral rust voor jezelf.

Het 8-K formulier waarmee Levi’s het incident meldde is ongewoon duidelijk over de route naar binnen: een onbevoegde derde kreeg via social engineering toegang tot de bedrijfscomputers van drie medewerkers. Het bedrijf schakelde externe securityspecialisten in, nam maatregelen om de toegang te stoppen en meldt dat er “bepaalde bedrijfsinformatie” is ingezien en gekopieerd. Klantgegevens zijn volgens Levi’s niet geraakt en het bedrijfsproces liep door.

Let op die formulering. “Geen consumentengegevens” gaat over eindklanten. Personeelsdossiers, prijslijsten, leverancierscontracten en intellectueel eigendom vallen allemaal netjes binnen “bepaalde bedrijfsinformatie”. Dat is geen leugen, het is een keuze in wat je wel en niet benoemt.

Er viel niets te patchen

Kijk even naar wat de aanvaller níét hoefde te doen. Geen verouderde dienst zoeken die aan het internet hangt. Geen zero-day kopen. Geen wachtwoordenlijst afdraaien. Drie telefoontjes, en klaar.

Dat maakt dit incident zo ongemakkelijk voor iedereen die beveiliging als een inkoopvraagstuk behandelt. Er is geen product dat “drie mensen die iets aardigs doen voor een collega die belt” tegenhoudt. De hele keten — endpointbescherming, patchbeheer, firewalls — stond er gewoon bij te kijken, want er werd niets misbruikt. Er werd gebeld.

Wij schrijven al langer dat phishing via de telefoon ondergewaardeerd wordt in vergelijking met de mailbox. Dit is waarom. Een mail kun je doorsturen naar security en laten checken. Een telefoontje duurt twee minuten, laat geen spoor achter en eindigt in een gevoel van “ik heb iemand geholpen”.

Het rekensommetje dat je klikratio ontmaskert

Levi’s heeft ongeveer 19.000 medewerkers. Er waren er drie nodig. Dat is 0,016 procent.

Reken dat nu terug naar je eigen rapportage. Stel dat je organisatie 500 mensen heeft en je viert een klikratio van 4 procent na de laatste phishingsimulatie. Klinkt netjes. Het betekent dat twintig mensen klikten. Een aanvaller heeft er drie nodig, en soms één.

Daarom is klikratio als los cijfer zo’n misleidende maatstaf. Je kunt hem naar nul duwen — dat lukt niet, en zelfs als het lukte zou de eerste aanvaller die belt in plaats van mailt eromheen lopen. De cijfers die er wél toe doen: hoeveel procent van je mensen meldt een verdacht contact, en hoe snel? Bij Levi’s is dat de enige knop die verschil had gemaakt, want de aanval liep helemaal buiten de techniek om.

Waar je wél iets aan hebt

Het patroon achter dit soort aanvallen is bekend: iemand belt de helpdesk of een medewerker, doet zich voor als collega of leverancier, en vraagt om een reset, een code of een klik. De verdediging zit dus in het proces rond identiteit, niet in een licentie:

• Bel altijd terug via het interne nummer. Nooit via het nummer dat de beller doorgeeft. Dit is de goedkoopste maatregel die bestaat en hij houdt de meeste pogingen tegen.
• Geen resets op basis van gegevens die te googelen zijn. Geboortedatum, personeelsnummer en de naam van je manager zijn geen bewijs van identiteit.
• Maak melden makkelijker dan negeren. Eén knop, één nummer, en geen enkele vraag achteraf waarom iemand ingegaan is op het gesprek.
• Oefen het telefoongesprek, niet alleen de mail. De meeste phishingsimulaties trainen alleen het klikken. Laat iemand ook eens bellen.

Niemand heeft het opgeëist

Er is nog geen groep die de aanval claimt. Dat is geen goed nieuws. Bij ransomware weet je binnen dagen wat er speelt, want het verdienmodel is publiciteit. Bij een stille exfiltratie kan het maanden duren voordat de gegevens opduiken, en tot die tijd weet je alleen dat iemand iets heeft.

De les is dezelfde als bij elke vorm van social engineering: de aanval mikt op mensen die hun werk goed willen doen. Wie zijn medewerkers behandelt als de zwakke schakel, krijgt mensen die incidenten verzwijgen. Wie ze behandelt als de verdedigingslinie, krijgt het telefoontje dat de schade beperkt.

Bron: het 8-K formulier van Levi Strauss & Co. bij de SEC van 7 augustus 2026.

Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.