Súlyos adatvédelmi incidensről értesíti jelenlegi és korábbi munkavállalóit az Estée Lauder. Az ismeretlen támadók a kozmetikai óriásvállalat emberi erőforrások kezelésére használt Oracle E-Business Suite rendszerébe jutottak be, ahonnan rendkívül érzékeny személyes adatokat loptak el.A vállalat tájékoztatása szerint a behatolás 2025. augusztus 9. körül történt, az Estée Lauder azonban csak 2026. június 19-én tudta megerősíteni, hogy adatok kerültek illetéktelenekhez. Az érintetteknek szóló értesítéseket július 17-én kezdték el kiküldeni, vagyis a dolgozók egy része csaknem egy évvel az adatlopás után szerzett tudomást az esetről.
Az ellopott információk között nevek, lakcímek, e-mail-címek, születési dátumok, társadalombiztosítási azonosítók és útlevélszámok is lehetnek. A támadók emellett bankszámlaadatokhoz, egészségügyi információkhoz, fizetési kimutatásokhoz, valamint a munkavállalók teljesítményértékeléseihez és más foglalkoztatási dokumentumaihoz is hozzáférhettek. Az Estée Lauder nem közölte, pontosan hány ember adatai érintettek, és az értesítésben azt sem nevezte meg, milyen biztonsági hibán keresztül jutottak be a támadók. A támadás időpontja ugyanakkor egybeesik az Oracle E-Business Suite rendszere ellen indított nagyszabású kibertámadási hullámmal.
A kampány során a támadók a CVE-2025-61882 azonosítójú kritikus sérülékenységet használták ki. A biztonsági rés lehetővé tette, hogy felhasználónév és jelszó nélkül, távolról futtassanak kódot az érintett rendszereken. Az Oracle 2025. október 4-én adott ki javítást a hibára, de a Clop nevű kiberbűnözői csoport a kutatók szerint már augusztus elejétől kihasználhatta azt. Az Estée Lauder hivatalosan nem erősítette meg, hogy az adatlopás közvetlenül ehhez a sérülékenységhez vagy a Clop csoporthoz köthető.
Ugyanez a támadási hullám több mint száz szervezetet érinthetett. A nyilvánosságra került áldozatok között volt a Harvard Egyetem, a Pennsylvaniai Egyetem, a The Washington Post, a Logitech és a Cox Enterprises is.
Az Estée Lauder két évig ingyenes személyazonosság-figyelő szolgáltatást biztosít az érintett dolgozóknak a Kroll vállalaton keresztül. A szolgáltatás az esetleges személyazonosság-lopások és pénzügyi visszaélések felismerésében segíthet, az ellopott adatok érzékenysége miatt azonban a károk kockázata hosszabb távon is fennmaradhat.
Nem ez az első alkalom, hogy az Estée Laudert a Clophoz köthető támadás érhette. A csoport 2023-ban a MOVEit fájlátviteli rendszer egyik korábban ismeretlen biztonsági hibáját kihasználva jutott hozzá a vállalat adataihoz.
