Estée-Lauder-Datenpanne mit Schwachstelle in Oracle E-Business in Verbindung gebracht

Die Datenpanne bei Estée Lauder führte zur Offenlegung personenbezogener Daten, nachdem Angreifer auf ein Oracle-E-Business-Suite-System zugegriffen hatten, das die Personalverwaltung des Unternehmens unterstützt.

Estée Lauder entdeckte den Vorfall im vergangenen Monat. Die Untersuchung des Unternehmens ergab, dass eine unbefugte Partei am oder um den 9. August 2025 Zugriff auf das System erhielt und personenbezogene Daten bestimmter Personen entwendete.

Das Unternehmen nannte die Schwachstelle, die den Angriff ermöglichte, nicht. Der Zeitpunkt überschneidet sich jedoch mit einer groß angelegten Angriffskampagne, bei der eine kritische Zero-Day-Schwachstelle in Oracle E-Business Suite ausgenutzt wurde.

Angreifer erbeuteten Personen- und Beschäftigtendaten

Ein Muster des Benachrichtigungsschreibens von Estée Lauder zeigt, dass die Angreifer möglicherweise auf folgende Daten zugegriffen haben:

• Vollständige Namen
• Post- und E-Mail-Adressen
• Geburtsdaten
• Sozialversicherungsnummern
• Reisepassnummern
• Bankkontodaten
• Gesundheitsinformationen
• Beschäftigtendaten, einschließlich Gehalts- und Leistungsberichte

Estée Lauder nutzte die betroffene Oracle-E-Business-Suite-Umgebung für die Personalverwaltung.

Das in New York ansässige Kosmetikunternehmen beschäftigt rund 57.000 Mitarbeiter und vertreibt seine Produkte weltweit sowohl online als auch über stationäre Geschäfte.

Oracle-Kampagne mit Zero-Day-Schwachstelle könnte den Vorfall erklären

Die Datenpanne bei Estée Lauder ereignete sich während einer groß angelegten Angriffskampagne, bei der CVE-2025-61882, eine kritische Schwachstelle in Oracle E-Business Suite, ausgenutzt wurde.

Die Schwachstelle betraf die E-Business-Suite-Versionen 12.2.3 bis 12.2.14. Angreifer konnten die Authentifizierung umgehen und über die Komponente BI Publisher Integration aus der Ferne Code ausführen.

Dadurch konnten sensible Personal- und Unternehmensdaten offengelegt werden.

Oracle veröffentlichte Sicherheitsupdates für CVE-2025-61882 am 4. Oktober 2025. Sicherheitsforscher berichteten später, dass die Ransomware-Gruppe Clop die Schwachstelle bereits seit Anfang August 2025 ausgenutzt hatte – also noch bevor Oracle die Patches bereitstellte.

Dieselbe Kampagne soll auch mehrere weitere Organisationen betroffen haben, darunter Harvard, die University of Pennsylvania, Dartmouth, The Washington Post, Logitech, GlobalLogic, Cox Enterprises und Envoy Air.

Estée Lauder hat die verantwortliche Gruppe bislang nicht identifiziert. Der zeitliche Zusammenhang deutet jedoch stark auf eine Verbindung zur Oracle-E-Business-Suite-Kampagne hin.

Estée Lauder bietet Identitätsüberwachung an

Estée Lauder rät den Betroffenen, auf Anzeichen von Betrug und Identitätsdiebstahl zu achten.

Das Unternehmen bietet außerdem eine kostenlose Identitätsüberwachung über Kroll für einen Zeitraum von 24 Monaten an.

Bereits 2023 wurde Estée Lauder von der Clop-Gruppe angegriffen, als diese eine separate Zero-Day-Schwachstelle in MOVEit Transfer ausnutzte.