Estée Lauder ha divulgato il 20 luglio 2026 una violazione dati iniziata il 9 agosto 2025 e rilevata solo il 19 giugno 2026: circa 10 mesi di permanenza non rilevata nel sistema Oracle E-Business Suite utilizzato per la gestione delle risorse umane. La vulnerabilità CVE-2025-61882, con punteggio CVSS v3 di 9.8 nel componente BI Publisher Integration, è stata sfruttata dal gruppo Clop ransomware in una campagna che ha colpito oltre cento organizzazioni.
- La violazione ha avuto inizio il 9 agosto 2025 ed è stata rilevata il 19 giugno 2026, per un periodo di esposizione di circa 10 mesi.
- La vulnerabilità CVE-2025-61882 nel componente BI Publisher Integration di Oracle E-Business Suite ha punteggio CVSS v3 di 9.8 e consente bypass dell'autenticazione con esecuzione di codice remoto.
- I dati esfiltrati includono nomi, indirizzi, date di nascita, numeri di previdenza sociale, passaporti, coordinate bancarie, informazioni sanitarie e dati lavorativi come payroll e performance report.
- Oracle ha rilasciato le patch il 4 ottobre 2025. La compromissione è proseguita per mesi successivi, con esfiltrazione stimata in circa 870 GB di dati secondo CPO Magazine.
Il meccanismo: da authentication bypass a data exfiltration su sistema HR
CVE-2025-61882 interessa il componente BI Publisher Integration di Oracle E-Business Suite, secondo quanto documentato dalle fonti primarie. La falla consente a un attaccante di aggirare i controlli di autenticazione e ottenere l'esecuzione remota di codice sul sistema target. Le versioni affette sono quelle comprese tra 12.2.3 e 12.2.14, come specificato da BleepingComputer.
Il sistema compromesso presso Estée Lauder era esplicitamente destinato alla gestione delle risorse umane. Questo ha determinato la natura altamente sensibile dei dati esposti: il flusso informativo di un reparto HR contiene il massimo livello di dettaglio personale gestibile in ambito aziendale. La fonte non specifica il numero esatto di dipendenti effettivamente coinvolti; l'azienda impiega circa 57.000 persone, ma la disclosure parla di "certain individuals" e "thousands".
Il gruppo Clop ha operato con la modalità che caratterizza le sue campagne più recenti: exploitation silenziosa, accumulo massivo di dati, successiva estorsione. Secondo l'evidence map, Google e Mandiant hanno avvertito delle violazioni legate a questa falla già nell'ottobre 2025, identificando lo sfruttamento come zero-day. CrowdStrike stima che Clop abbia iniziato a sfruttare la vulnerabilità sin da agosto 2025, ovvero prima della disponibilità della patch Oracle.
"This group doesn't break into companies one at a time. They find a vulnerability in software that thousands of organizations share, harvest data quietly across as many victims as they can before anyone notices, and then work through the extortion process at their own pace long after the initial compromise. By the time a company like Estée Lauder confirms what happened, Clop has already known the shape of that exposure for the better part of a year." — John Watters, Chairman and CEO, iCounter
Il patch gap: cronologia di una finestra aperta
La timeline rivela una sequenza che solleva interrogativi. L'intrusione ha inizio il 9 agosto 2025. Oracle rilascia le patch il 4 ottobre 2025. La violazione viene rilevata il 19 giugno 2026. Se l'assunto tecnico standard — che la patch non sia stata applicata tempestivamente — corrisponde alla realtà operativa, si apre una finestra di esposizione di circa otto mesi post-patch prima della scoperta, sommata ai due mesi iniziali di pre-patch exploitation.
Il dossier non conferma esplicitamente che i sistemi Estée Lauder fossero effettivamente non patchati né documenta eventuali tentativi di applicazione parziale o ritardata. Senza advisory primario del vendor o audit indipendente, la causalità diretta tra assenza di patch e persistenza dell'intrusione resta un'inferenza ragionevole ma non provata. Le fonti documentano la data di disponibilità della patch e la data di rilevazione della compromissione, con un intervallo che supera i 250 giorni.
La campagna Clop ha coinvolto altre vittime confermate di rilievo: Harvard, University of Pennsylvania, Dartmouth, University of Phoenix, The Washington Post, GlobalLogic, Logitech e Envoy, sussidiaria di American Airlines. Google Threat Intelligence Group stima che le organizzazioni colpite siano più di cento. Questa scala conferma il modello operativo descritto da Watters: il gruppo identifica vulnerabilità condivise da migliaia di organizzazioni, raccoglie dati silenziosamente e gestisce l'estorsione con tempistiche proprie.
"On June 19, 2026, we determined through our investigation that, on or around August 9, 2025, an unauthorized third party gained access to the Oracle E-Business Suite system and obtained personal information of certain individuals" — Estée Lauder, disclosure ufficiale
Cosa fare adesso
Estée Lauder offre 24 mesi di monitoraggio identità tramite Kroll, con scadenza iscrizione il 31 ottobre 2026. Il dossier non specifica se l'iscrizione sia automatica o richieda azione individuale; la fonte non dettaglia procedure di attivazione.
Il dossier non contiene indicazioni specifiche su controlli compensativi, segmentazione di rete o misure di rilevamento aggiuntive per questo incidente. La fonte primaria strutturata è CPO Magazine, con altre fonti editoriali di contesto; non è disponibile un advisory tecnico primario del vendor sui sistemi specifici di Estée Lauder.
Contesto: una campagna, molte vittime
Il caso Estée Lauder si inserisce in una campagna più ampia che ha sfruttato CVE-2025-61882 come zero-day prima della patch di ottobre 2025. L'azienda aveva già subito un precedente breach attribuito a Clop nel 2023, con esfiltrazione di oltre 131 GB di dati tramite la vulnerabilità MOVEit.
La ripetizione dell'esposizione a campagne Clop in tre anni solleva questioni sulla visibilità del perimetro di attacco, ma il dossier non fornisce elementi per valutare la maturità di sicurezza dell'organizzazione o trarre conclusioni strutturali.
Per i dipendenti potenzialmente coinvolti, l'unica azione documentata è il servizio Kroll con scadenza 31 ottobre 2026. La fonte non specifica altre misure di remediation o comunicazione regulatoria.
Basato su fonti editoriali; manca advisory tecnico primario del vendor. Le informazioni sono aggiornate al momento della pubblicazione.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.cpomagazine.com/cyber-security/cosmetics-giant-estee-lauder-discloses-a-10-month-old-data-breach/
- https://www.bleepingcomputer.com/news/security/est-e-lauder-discloses-data-breach-via-oracle-e-business-flaw/
- https://www.technadu.com/estee-lauder-confirms-data-breach-ssns-passport-numbers-and-health-data-exposed-via-oracle-ebs-exploit/631568/
- https://www.ad-hoc-news.de/boerse/news/unternehmensnachrichten/beauty-giant-s-hr-systems-breached-for-nearly-a-year-before-discovery/69909581
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
- https://deals.bleepingcomputer.com/
- https://www.bleepingcomputer.com/vpn/