Estée Lauder-dataintrång kopplas till sårbarhet i Oracle E-Business

Estée Lauder-dataintrånget exponerade personuppgifter efter att angripare tagit sig in i ett Oracle E-Business Suite-system som används för företagets HR-verksamhet.

Estée Lauder upptäckte intrånget förra månaden. Företagets utredning visade att en obehörig aktör fick åtkomst till systemet omkring den 9 augusti 2025 och stal personuppgifter som tillhörde vissa individer.

Företaget har inte uppgett vilken sårbarhet som möjliggjorde attacken. Tidpunkten sammanfaller dock med en omfattande attackkampanj som riktades mot Oracle E-Business Suite via en kritisk nolldagssårbarhet.

Angriparna kom över person- och anställningsuppgifter

Ett exempel på Estée Lauders informationsbrev visar att angriparna kan ha fått åtkomst till följande uppgifter:

• Fullständiga namn
• Post- och e-postadresser
• Födelsedatum
• Personnummer
• Passnummer
• Bankkontouppgifter
• Hälsouppgifter
• Anställningsinformation, inklusive löne- och prestationsrapporter

Estée Lauder använde den berörda Oracle E-Business Suite-miljön för HR-administration.

Det New York-baserade kosmetikföretaget har omkring 57 000 anställda och säljer sina produkter både online och i fysiska butiker världen över.

Oracle-kampanj med nolldagssårbarhet kan förklara intrånget

Estée Lauder-dataintrånget inträffade under en omfattande kampanj där angripare utnyttjade CVE-2025-61882, en kritisk sårbarhet i Oracle E-Business Suite.

Sårbarheten påverkade E-Business Suite-versionerna 12.2.3 till 12.2.14. Angripare kunde kringgå autentisering och köra kod på distans via komponenten BI Publisher Integration.

På så sätt kunde de få åtkomst till känslig HR- och affärsinformation.

Oracle släppte säkerhetsuppdateringar för CVE-2025-61882 den 4 oktober 2025. Säkerhetsforskare rapporterade senare att ransomwaregruppen Clop hade utnyttjat sårbarheten redan från början av augusti 2025, innan Oracle publicerade sina korrigeringar.

Samma kampanj ska även ha drabbat flera andra organisationer, däribland Harvard, University of Pennsylvania, Dartmouth, The Washington Post, Logitech, GlobalLogic, Cox Enterprises och Envoy Air.

Estée Lauder har ännu inte identifierat gruppen bakom intrånget. Tidpunkten talar dock starkt för en koppling till attackkampanjen mot Oracle E-Business Suite.

Estée Lauder erbjuder identitetsövervakning

Estée Lauder uppmanar de berörda personerna att vara uppmärksamma på bedrägerier och identitetsstöld.

Företaget erbjuder också 24 månaders kostnadsfri identitetsövervakning genom Kroll.

Clop drabbade även Estée Lauder under 2023, då gruppen utnyttjade en separat nolldagssårbarhet i MOVEit Transfer.