会社支給のパソコン3台。リーバイ・ストラウスがSECに提出した書類が明かした侵入の入口は、その規模でした。しかも開示に使われたのは、重要インシデント用の欄ではありません。8-Kのどの欄に書くかを企業が選ぶとき、そこには判断そのものが表れています。番号から読み解きます。
リーバイス（Levi Strauss & Co.）は2026年8月7日、米証券取引委員会（SEC）に提出したForm 8-Kで、サイバーセキュリティインシデントの発生を公表した。第三者がソーシャルエンジニアリング手法により従業員3名の会社支給パソコンへ不正にアクセスし、会社のファイルに到達したという。
同社は検知後に対応プロトコルを発動して封じ込め措置を実施し、外部の専門家を起用して調査を続けている。暫定的な調査結果として一部の企業情報が持ち出されたと判断した一方、消費者データへの影響はなく、業務の中断も生じていないとした。
提出日時点で事業戦略や経営成績への重要な影響はないとの見方を示している。開示はItem 1.05ではなくItem 8.01「その他の事象」で行われた。
From: 
LEVI STRAUSS & CO. Form 8-K（August 7, 2026）
【編集部解説】
「3台」から始まった
今回の開示で最初に目を引くのは、侵入の規模です。会社支給のパソコン3台。従業員3名分です。グローバルに事業を展開する企業のネットワークにおいて、3という数字は誤差のようなものに見えます。
それでも、企業情報は外部へ持ち出されました。8-Kが記しているのは、技術的な弱点ではなく、人に働きかける手口が入口になったということです。従業員が具体的にどう応じたのか、ほかの要因が関与したのかは明かされていません。
ここで正確に押さえておきたいのは、8-Kが手口を「ソーシャルエンジニアリング手法」としか書いていないことです。フィッシングメールなのか、ITヘルプデスクを装う電話なのか、同社は明かしていません。報道の一部は電話を使った手口を示唆していますが、リーバイス自身は特定していません。この区別は、後述する理由から重要になります。
前日、Reutersが載せた「標的リスト」
事案には、無視しにくい前日談があります。以下の日付は、いずれも米国時間です。
Reutersによれば8月6日、Googleの脅威インテリジェンスチームが、ITヘルプデスクを装う電話で認証情報を盗み出す恐喝キャンペーンのレポートを公表しています。同じ日、Reutersは独自に入手したインターネット・インテリジェンスのデータをもとに、この攻撃基盤が過去5週間で200社超に向けた「罠」を用意していたと報じ、その社名リストにBlackstoneやKKRといったプライベートエクイティ大手と並んで、Uber、Zillow、大手法律事務所、そしてLevi Straussを挙げました。
その翌日、リーバイスは8-Kを提出しています（EDGARの受理は8月7日午前6時4分）。
ただし、この二つを因果でつなぐことは、現時点ではできません。Reutersは記事のなかで、どの企業が実際に侵害されたかは特定できなかったと明記しています。「罠が用意された」ことと「侵入された」ことは別の事実です。リーバイスの8-Kも攻撃者を特定しておらず、犯行声明も出ていません。
Googleのアナリストは、これらの罠について、いずれも侵入の試みに使われた可能性が高いとしながら、すべてが成功したわけではないとも述べています。
つまり、確かなのは日付だけです。8月6日に標的候補として名前が出た企業が、8月7日に自ら被害を開示した。この並びをどう読むかは、続報を待つほかありません。断定を避けたまま記録しておくことに、意味があると考えます。
手口の記述にも、そのまま重ならない部分があります。Googleが描いた攻撃者の典型的な流れは、電話で認証情報を奪い、そこからMicrosoft 365やOktaといったクラウドサービス上のデータを持ち出すというものでした。リーバイスが説明しているのは、会社支給のコンピューターを経由した侵入です。同じ入口から始まったとしても、その先が同じだったとは限りません。
なぜ「Item 1.05」ではなかったのか
もう一つ、投資家向けの書類としての性格に目を向けたい点があります。開示区分です。
米SECは2023年7月、上場企業に対し、重要と判断したサイバーインシデントを判断から4営業日以内に開示することを義務づける規則を採択しました。その受け皿がForm 8-KのItem 1.05「重要なサイバーセキュリティインシデント」です。
リーバイスが使ったのは、Item 1.05ではありません。Item 8.01「その他の事象」でした。
これは手抜きでも例外運用でもありません。2024年5月、SEC企業財務局のエリック・ガーディング局長は、重要と判断していない事案や重要性を判断できていない事案をItem 1.05で開示すると、投資家が深刻度を誤認しかねないとして、そうした任意開示にはItem 8.01などを使うよう促す声明を出しています。リーバイスの選択は、この整理と整合しています。
ただし、区分だけで読み取れることには限界もあります。この声明が想定しているItem 8.01の用途には、「重要でないと判断した事案」と「重要性の判断をまだ終えていない事案」の両方が含まれます。つまり、リーバイスがすでに非重要と結論づけたのか、判断の途中なのかまでは、区分からは分かりません。なお、この声明はSEC委員会の規則ではなく、法的拘束力を持たないスタッフの見解です。
なお、任意にItem 8.01で開示した後で重要と判断が変わった場合、企業はその判断から4営業日以内にItem 1.05を改めて提出する必要があります。調査は継続中です。区分が動く可能性は残っています。
日本の読者にとって
日本の上場企業に、8-KのItem 1.05に相当する「サイバー専用の開示欄」はありません。ただし、サイバー事案でも適時開示規則上の重要な会社情報にあたれば、開示は必要です。専用の項目がないぶん、どの既存項目に位置づけ、どこまで説明するかに判断の余地が生じます。
2026年10月1日には、サイバー対処能力強化法のうち、特別社会基盤事業者を対象とする特定重要電子計算機の届出や特定侵害事象等の報告制度が施行されます。ただしこれは当局への報告であって、投資家や顧客への開示とは別の回路です。「誰に対して、どこまで説明するか」という問いは、依然として各社の手元にあります。
日本市場との関わりでは、もう一つ気になる点があります。リーバイ・ストラウス ジャパンからは、本件について日本語での説明が確認できません。消費者データへの影響はないという本社の判断を踏まえれば、日本の顧客に直接の影響が及ぶ状況ではない可能性が高いでしょう。ただし「持ち出された企業情報」の中身は公表されていません。取引先情報や従業員情報が含まれていた場合、日本法人の関係者にも関わってきます。
留保すべき点
第一に、数字はすべて暫定です。「従業員3名」も「消費者データへの影響なし」も、提出日時点の調査に基づく判断にすぎません。8-K自身が、調査は継続中であり、流出に関する記述も暫定的な結果に基づくと明記しています。この記事の数字は、確定値ではなく出発点として読むのが適切です。
第二に、「重要な影響なし」は自己申告です。重要性の判断は企業自身が行い、SECが事前に承認するものではありません。判断が妥当かどうかを外部から検証する材料は、現時点でほとんど公開されていません。
第三に、公表されていないことが多すぎます。攻撃者、侵入から検知までの期間、持ち出された情報の量と種別、ランサムの要求の有無。いずれも8-Kにはありません。書かれていないことを「なかったこと」と読み替えないよう、注意が必要です。
「投資家にとって重要でない」と「私たちにとって重要でない」
3台のパソコンから始まった侵入が、この規模の企業の経営に重要な影響を与えない——おそらく、その判断は正しいのでしょう。
ただ、この「重要でない」は、米国証券法上の重要性の話です。合理的な投資家が投資判断上重要と考えるか、入手できる情報の全体像を大きく変えるか。株価が実際に動いたかどうかで決まるものではありません。そして、その物差しで測れないものが、企業情報の流出には含まれています。
目の前の一本の電話やメールに応じるかどうかを判断するのは、いつも現場の誰かです。電話やメールを使って人に働きかける手口は、いまも有効な入口であり続けています。
【関連記事】
IT窓口を装う一本の電話｜Google、金融大手を狙うハッカー集団の手口を公表
今回の開示の前日に公表された、電話を使った恐喝キャンペーンに関するGoogleの脅威レポートを詳しく扱った記事になります。
Microsoft Teams悪用の偽ITサポート通話が相次ぐ、EtherRATマルウェアで企業ネットワークが標的に
ITサポートを装って人に働きかける手口は、Microsoft Teamsを使った別の経路でも繰り返し報告されてきました。
サイバー対処能力強化法、10月施行—特定重要電子計算機の届出・報告制度、解説案がパブコメ開始
日本側の報告制度がどのように設計されているのかを、パブリックコメントにかけられた解説案の中身から読み解いた記事になります。
【解説】ニチレイ、サイバー攻撃から10日で復旧の”なぜ”─広まる説明と、まだ出そろわない答え
企業が何をどこまで説明するのかという論点を、国内で実際に起きたサイバー攻撃の事例に即して丁寧に扱った解説記事になります。
【編集部後記】
Reutersが公開した標的リストには、リーバイス以外にもUberやZillow、複数の大手法律事務所が並んでいました。そのうちGreenberg Traurigは、複数の防御層を備えているため侵害は起きていないと明確に否定しています。
標的にされたことと、突破されたことは違う。当たり前のようでいて、社名がリストに載った時点で世間の受け止めは動きます。否定の声明を出せる企業と、出さない企業。その差が何を意味するのかは、まだ読み切れていません。
【用語解説】
Form 8-K
米国の上場企業が、決算期を待たずに随時提出する臨時報告書。株主の判断に関わる出来事が起きたときに提出する。
Item 1.05（重要なサイバーセキュリティインシデント）
Form 8-Kの区分の一つ。SECが2023年7月に採択した規則で導入され、企業が重要と判断したサイバーインシデントについて、判断から4営業日以内の開示を義務づけている。
Item 8.01（その他の事象）
Form 8-Kの区分の一つ。義務ではないが投資家に伝えるべきと企業が考えた事象を任意で開示する受け皿。重要でないと判断した事案と、重要性の判断がまだ済んでいない事案の双方に用いられる。
ソーシャルエンジニアリング
システムの技術的な弱点ではなく、人の心理や信頼関係につけこんで情報や権限を引き出す手口の総称。
EDGAR
SECが運営する、上場企業の提出書類を誰でも無料で閲覧できる電子開示システム。
重要性（マテリアリティ）
合理的な投資家が投資判断において重要と考える可能性が相当程度あるか、または入手できる情報の全体像を大きく変えるか、という米証券法上の基準。財務的な影響だけでなく、評判や取引先との関係、訴訟・規制リスクなどの定性的要素も含めて判断される。
プライベートエクイティ
未公開企業などに出資し、経営改善後の売却によって利益を得る投資会社。M&Aに関する機密情報を大量に扱う。
適時開示
上場企業が投資判断に重要な影響を与える会社情報を速やかに公表する制度。日本では証券取引所の規則に基づいて運用される。
サイバー対処能力強化法
サイバー攻撃への対処能力を強化するための日本の法律。段階的に施行されており、特別社会基盤事業者を対象とする届出・報告制度は2026年10月1日に施行される。
【参考リンク】
Levi Strauss & Co.（外部）
1853年創業のアパレル企業。リーバイス®などのブランドを世界で展開しており、今回のSEC提出書類を出した主体にあたる。
Levi Strauss & Co. Investor Relations（外部）
同社の投資家向け情報ページ。四半期ごとの決算発表や、各種SEC提出書類の告知が随時掲載されている一次情報の窓口となっている。
Levi Strauss Japan（リーバイ・ストラウス ジャパン株式会社）（外部）
リーバイス®ブランドの日本市場向けの輸入・販売を担う日本法人の企業サイト。本件に関する日本語での告知は現時点で見当たらない。
U.S. Securities and Exchange Commission（外部）
米証券取引委員会の公式サイト。上場企業が提出した書類を誰でも無料で閲覧できるデータベース、EDGARへの入口にもなっている。
SEC「Disclosure of Cybersecurity Incidents Determined To Be Material and Other Cybersecurity Incidents」（外部）
2024年5月21日付のSEC企業財務局長による声明の原文。Item 1.05と他区分の使い分けに関する考え方を示した一次資料である。
Google Cloud Blog（脅威インテリジェンス）（外部）
Googleの脅威インテリジェンス部門が攻撃者の動向を発信する公式ブログ。今回言及したUNC6671レポートの掲載元である。
【参考記事】
Hackers targeted US private equity, other firms including Blackstone, CME, data shows — Reuters（外部）
5週間で200社超に向けた罠が用意されていたとし、標的リストにLevi Straussの名を挙げた8月6日配信の独自記事の全文。
UNC6671 Rebrands: Multi-Brand Vishing Extortion Targets Financial Services and Enterprise Cloud Environments — Google Cloud Blog（外部）
攻撃基盤や標的の変遷、暗号資産の受領額まで分析した一次レポート。関連する悪性サイト72件を特定したとしている報告書である。
Levi Strauss says hackers breached employee computers, accessed corporate data — The Record（外部）
攻撃者が未特定であること、ランサムウェアの有無が不明であること、犯行声明が出ていないことを整理した8月7日付の英文報道。
SEC Staff Makes Clear That Cybersecurity Incident Disclosures Under Item 1.05 of Form 8-K Should Be Limited to Material Cybersecurity Incidents — Goodwin（外部）
2024年5月のSEC企業財務局長声明を解説。重要性が未確定の事案はItem 8.01などで開示すべきとする整理を示す。
Reporting cybersecurity incidents on Form 8-K — Harvard Law School Forum on Corporate Governance（外部）
Item 1.05とItem 8.01の使い分け、および後から重要と判断した場合の追加提出義務について、実務の観点から整理した解説。
Levi Strauss Data Breach – Hackers Gained Access to the Company’s Systems — Cyber Security News（外部）
同事案を報じた専門メディアの記事。手口の詳細が公表されていない点に触れつつ、近年の類似した事案と並べて位置づけを試みている。
