Estée Lauder 因 Oracle E-Business 漏洞披露数据泄露事件

化妆品巨头 Estée Lauder 正在通知客户一起数据泄露事件，此前黑客利用该公司用于人力资源（HR）运营的 Oracle E-Business Suite 中的一个漏洞。
该公司表示，上个月它识别出一起发生于 2025 年 8 月 9 日的入侵事件，该事件导致威胁行为者获取了"某些个人的个人信息"。
"我们意识到了一起网络安全问题，涉及 Oracle E-Business Suite 系统中的一个漏洞，该系统被 Estée Lauder 公司用于 HR 管理目的，"通知中写道。
"2026 年 6 月 19 日，我们通过调查确定，在 2025 年 8 月 9 日左右，一名未经授权的第三方访问了 Oracle E-Business Suite 系统，并获取了某些个人的个人信息。"
根据披露信函的样本，暴露的数据包括：

• 全名
• 邮寄地址
• 电子邮件地址
• 出生日期
• 社会安全号码（SSN）
• 护照号码
• 财务账户信息，包括银行账号
• 健康信息
• 雇佣信息，包括薪资和绩效报告

Estée Lauder 是一家总部位于纽约的化妆品巨头，年收入达 143 亿美元。它是全球第二大化妆品公司，拥有 57,000 名员工，在全球运营线上和实体店。
尽管 Estée Lauder 的通知未披露入侵中利用的漏洞，但泄露日期与通过 CVE-2025-61882 针对 Oracle E-Business Suite 的大规模利用活动时间相符。
2025 年 10 月，Google 和 Mandiant 的研究人员警告称，Clop 勒索软件团伙将该漏洞作为零日漏洞利用以窃取数据。
该漏洞影响 EBS 版本 12.2.3–12.2.14，使攻击者能够绕过身份验证并通过 BI Publisher Integration 组件远程执行代码，从而可能获取敏感的 HR 和业务数据。
Oracle 于 2025 年 10 月 4 日发布了针对 CVE-2025-61882 的修复程序。此后不久，网络安全公司 CrowdStrike 确认 Clop 自 2025 年 8 月初以来一直在利用该漏洞。
同一活动中的其他知名受害者包括 Harvard、University of Pennsylvania、Dartmouth、University of Phoenix、The Washington Post、Logitech、GlobalLogic、Cox Enterprises 以及 American Airlines 的子公司 Envoy Air。
Estée Lauder 建议收到泄露通知信函的收件人保持警惕，留意身份盗窃和欺诈的迹象。该公司还通过 Kroll 提供 24 个月的免费身份监控服务。
Estée Lauder 在 2023 年也曾遭到 Clop 入侵，当时该威胁行为者利用该公司内部软件工具 MOVEit Transfer 平台中的另一个零日漏洞。