Estée Lauder meldet Datenexposition im Zusammenhang mit einem Einbruch in Oracle E-Business Suite

Estée Lauder informiert betroffene Personen, nachdem eine unbefugte Partei auf eine für Personalverwaltungsprozesse genutzte Oracle-E-Business-Suite-Umgebung zugegriffen und personenbezogene Daten erlangt hat.

Laut der Datenschutzverletzungsmitteilung des Unternehmens stellte Estée Lauder im Juni 2026 ein Cybersicherheitsproblem fest. Die Untersuchung ergab, dass ein Angreifer am oder um den 9. August 2025 in das System eingedrungen war. Das Unternehmen hat die Angreifer öffentlich nicht identifiziert und die konkret ausgenutzte Schwachstelle nicht bestätigt.

Möglicherweise offengelegte Informationen

Die betroffenen Daten unterscheiden sich je nach Person und können Namen, Post- und E-Mail-Adressen, Geburtsdaten, Sozialversicherungsnummern, Passdaten, Bankkontoinformationen, Gesundheitsdaten sowie Beschäftigungsunterlagen wie Gehaltsabrechnungen und Leistungsberichte umfassen.

Estée Lauder rät den Empfängern, auf verdächtige Nachrichten und mögliche Anzeichen von Identitätsdiebstahl oder Betrug zu achten. Das Unternehmen bietet außerdem über Kroll 24 Monate lang kostenlose Dienste zur Überwachung der Identität an.

Möglicher Zusammenhang mit einer Oracle-Schwachstelle

Der Zeitpunkt des Vorfalls überschneidet sich mit einer groß angelegten Kampagne gegen Oracle E-Business Suite. Sicherheitsforscher brachten diese Aktivitäten mit CVE-2025-61882 in Verbindung, einer Schwachstelle in der Komponente BI Publisher Integration der Suite. Die Schwachstelle betraf die Versionen 12.2.3 bis 12.2.14 und konnte es einem nicht authentifizierten Angreifer ermöglichen, Sicherheitskontrollen zu umgehen und aus der Ferne Code auszuführen.

Oracle veröffentlichte am 4. Oktober 2025 eine Behebung der Schwachstelle. Forscher und CrowdStrike berichteten später, dass die Erpressergruppe Clop die Schwachstelle ab Anfang August als Zero-Day ausgenutzt hatte. Die Mitteilung von Estée Lauder belegt jedoch nicht, dass CVE-2025-61882 für diesen konkreten Angriff verantwortlich war.

Zu den anderen Organisationen, die öffentlich mit der Oracle-Kampagne in Verbindung gebracht wurden, gehören mehrere Universitäten, The Washington Post, Logitech, GlobalLogic, Cox Enterprises und Envoy Air.

Das Kosmetikunternehmen mit Hauptsitz in New York und weltweiter Geschäftstätigkeit legte außerdem einen separaten, mit Clop in Verbindung stehenden Vorfall aus dem Jahr 2023 offen, bei dem die Dateiübertragungsplattform MOVEit Transfer betroffen war. Dieser frühere Angriff betraf mehrere Organisationen, die den anfälligen Dienst nutzten.