Estée Lauder segnala un’esposizione di dati collegata a un’intrusione in Oracle E-Business Suite

Estée Lauder sta informando le persone interessate dopo che un soggetto non autorizzato ha avuto accesso a un ambiente Oracle E-Business Suite utilizzato per le attività delle risorse umane e ha ottenuto informazioni personali.

Secondo la comunicazione dell’azienda relativa alla violazione, Estée Lauder ha identificato un problema di sicurezza informatica nel giugno 2026. Dall’indagine è emerso che un aggressore era entrato nel sistema intorno al 9 agosto 2025. L’azienda non ha identificato pubblicamente gli aggressori né confermato la vulnerabilità specifica utilizzata.

Informazioni potenzialmente esposte

I dati coinvolti variano a seconda della persona e possono includere nomi, indirizzi postali ed e-mail, date di nascita, numeri di previdenza sociale, dati del passaporto, informazioni sui conti bancari, dati sanitari e documenti relativi all’impiego, come cedolini paga e valutazioni delle prestazioni.

Estée Lauder consiglia ai destinatari di prestare attenzione alle comunicazioni sospette e a possibili segnali di furto d’identità o frode. L’azienda offre inoltre 24 mesi di servizi gratuiti di monitoraggio dell’identità tramite Kroll.

Possibile collegamento a una vulnerabilità di Oracle

La tempistica dell’incidente coincide con una campagna su vasta scala contro Oracle E-Business Suite. I ricercatori di sicurezza hanno collegato tale attività alla vulnerabilità CVE-2025-61882, presente nel componente BI Publisher Integration della suite. La falla interessava le versioni dalla 12.2.3 alla 12.2.14 e poteva consentire a un aggressore non autenticato di aggirare i controlli di sicurezza ed eseguire codice da remoto.

Oracle ha rilasciato una correzione per la vulnerabilità il 4 ottobre 2025. In seguito, i ricercatori e CrowdStrike hanno riferito che il gruppo di estorsione Clop aveva sfruttato la falla come vulnerabilità zero-day a partire dall’inizio di agosto. Tuttavia, la comunicazione di Estée Lauder non dimostra che la CVE-2025-61882 sia stata responsabile di questa specifica compromissione.

Tra le altre organizzazioni associate pubblicamente alla campagna contro Oracle figurano diverse università, The Washington Post, Logitech, GlobalLogic, Cox Enterprises ed Envoy Air.

L’azienda di cosmetici, con sede a New York e attività in tutto il mondo, ha inoltre reso noto un incidente separato collegato a Clop nel 2023, che ha coinvolto la piattaforma di trasferimento file MOVEit Transfer. Quell’attacco precedente ha interessato diverse organizzazioni che utilizzavano il servizio vulnerabile.