Il colosso dei cosmetici Estée Lauder ha rivelato una violazione dei dati dopo che gli aggressori hanno ottenuto accesso non autorizzato all’ambiente Oracle E-Business Suite dell’azienda, esponendo informazioni personali sensibili appartenenti a dipendenti attuali ed ex. L’incidente fa parte di una campagna più ampia che ha preso di mira organizzazioni che gestiscono server vulnerabili Oracle E-Business Suite durante il 2025.
Secondo le lettere di notifica di violazione, Estée Lauder è venuta a conoscenza del problema di sicurezza mentre indagava sulle vulnerabilità che riguardano Oracle E-Business Suite, la piattaforma utilizzata dall’azienda per la gestione delle risorse umane. L’indagine ha concluso che una terza parte non autorizzata ha avuto accesso al sistema intorno al 9 agosto 2025 e ha ottenuto informazioni personali archiviate all’interno dell’ambiente HR. L’azienda ha confermato l’ambito del compromesso il 19 giugno 2026, prima di informare le persone interessate.
Le informazioni compromesse variano da individuo a individuo, ma possono includere nomi, indirizzi di casa, indirizzi email, date di nascita, numeri di previdenza sociale, numeri di passaporto, informazioni sui conti finanziari, dati sanitari e registri di impiego come le buste paga e le valutazioni delle prestazioni. Estée Lauder non ha rivelato quante persone siano state colpite dalla violazione.
Sebbene l’azienda non abbia identificato pubblicamente la vulnerabilità sfruttata nell’attacco, la tempistica corrisponde strettamente allo sfruttamento su larga scala del difetto Oracle E-Business Suite CVE-2025-61882. I ricercatori di sicurezza avevano precedentemente collegato quella campagna al gruppo ransomware Clop, che ha sfruttato server Oracle EBS vulnerabili per rubare dati da decine di organizzazioni prima di emettere richieste di estorsione. Oracle ha rilasciato una patch che affronta la vulnerabilità zero-day nell’ottobre 2025, dopo che gli attaccanti avevano già iniziato a sfruttare i sistemi interessati.
Estée Lauder ha dichiarato di aver coinvolto esperti esterni di cybersecurity per assistere nell’indagine, segnalato l’incidente alle forze dell’ordine e implementato ulteriori misure di sicurezza per proteggere i propri sistemi. L’azienda offre inoltre alle persone interessate servizi gratuiti di monitoraggio dell’identità e protezione contro le frodi per 24 mesi tramite Kroll. Ha incoraggiato i destinatari della notifica a esaminare i conti finanziari, monitorare i rapporti di credito e rimanere vigili per eventuali segni di furto d’identità.
La violazione non è il primo incidente di cybersecurity che coinvolge Estée Lauder. Nel 2023, l’azienda ha reso pubblici un attacco informatico separato che ha interrotto parti delle sue operazioni aziendali dopo che gli attaccanti hanno ottenuto accesso non autorizzato ai sistemi interni. Quell’incidente è avvenuto durante i diffusi attacchi MOVEit Transfer, anche se un altro gruppo ransomware ha rivendicato la responsabilità di un’intrusione separata nella rete dell’azienda.