Der Kosmetikgigant Estée Lauder hat eine Datenpanne bekannt gegeben, nachdem Angreifer unbefugten Zugriff auf die Oracle E-Business Suite des Unternehmens erhalten hatten und sensible persönliche Informationen aktueller und ehemaliger Mitarbeiter offengelegt hatten. Der Vorfall ist Teil einer umfassenderen Kampagne, die sich gegen Organisationen richtete, die im Jahr 2025 verwundbare Oracle E-Business Suite-Server betrieben.
Laut Benachrichtigungsschreiben über Sicherheitsverletzungen wurde Estée Lauder auf das Sicherheitsproblem aufmerksam, als sie Schwachstellen in der Oracle E-Business Suite untersuchte, der Plattform, die das Unternehmen für das Personalmanagement nutzt. Die Untersuchung kam zu dem Schluss, dass eine unbefugte dritte Partei am oder um den 9. August 2025 auf das System zugegriffen und persönliche Informationen erhalten hat, die in der HR-Umgebung gespeichert sind. Das Unternehmen bestätigte am 19. Juni 2026 den Umfang des Kompromisses, bevor es die betroffenen Personen benachrichtigte.
Die kompromittierten Informationen variieren je nach Person, können aber Namen, Wohnadressen, E-Mail-Adressen, Geburtsdaten, Sozialversicherungsnummern, Reisepassnummern, Finanzkontoinformationen, gesundheitsbezogene Daten sowie Beschäftigungsunterlagen wie Gehalts- und Leistungsbewertungen umfassen. Estée Lauder hat nicht bekannt gegeben, wie viele Menschen von der Verletzung betroffen waren.
Obwohl das Unternehmen die im Angriff ausgenutzte Schwachstelle nicht öffentlich identifiziert hat, entspricht der Zeitrahmen stark der groß angelegten Ausnutzung des Oracle E-Business Suite-Fehlers CVE-2025-61882. Sicherheitsforscher haben diese Kampagne zuvor mit der Clop-Ransomware-Gruppe in Verbindung gebracht, die verwundbare Oracle EBS-Server ausnutzte, um Daten von Dutzenden von Organisationen zu stehlen, bevor sie Erpressungsforderungen stellten. Oracle veröffentlichte im Oktober 2025 einen Patch, der die Zero-Day-Schwachstelle behebt, nachdem Angreifer bereits begonnen hatten, betroffene Systeme auszunutzen.
Estée Lauder sagte, sie habe externe Cybersicherheitsexperten zur Unterstützung der Untersuchung hinzugezogen, den Vorfall den Strafverfolgungsbehörden gemeldet und zusätzliche Sicherheitsmaßnahmen zum Schutz ihrer Systeme ergriffen. Das Unternehmen bietet den betroffenen Personen außerdem 24 Monate kostenlose Identitätsüberwachung und Betrugsschutzdienste über Kroll an. Sie ermutigte die Empfänger der Benachrichtigung, Finanzkonten zu überprüfen, Kreditberichte zu überwachen und auf Anzeichen von Identitätsdiebstahl zu achten.
Der Sicherheitsvorfall ist nicht der erste Cybersicherheitsvorfall, an dem Estée Lauder beteiligt ist. Im Jahr 2023 enthüllte das Unternehmen einen separaten Cyberangriff, der Teile seiner Geschäftsabläufe störte, nachdem Angreifer unbefugten Zugang zu internen Systemen erhalten hatten. Dieser Vorfall ereignete sich während der weit verbreiteten MOVEit-Transfer-Angriffe, obwohl auch eine andere Ransomware-Gruppe die Verantwortung für einen separaten Einbruch in das Netzwerk des Unternehmens übernahm.