Estée Lauder Ungkap Kebocoran Data via Celah Oracle E-Business Suite
Estée Lauder mengungkap insiden kebocoran data setelah pihak tidak berwenang mengeksploitasi celah pada sistem Oracle E-Business Suite yang digunakan perusahaan untuk kebutuhan manajemen sumber daya manusia.
Dalam pemberitahuan kepada individu terdampak, perusahaan kosmetik asal New York tersebut menyatakan bahwa penyelidikan internal menemukan adanya akses tidak sah ke sistem Oracle E-Business Suite pada sekitar 9 Agustus 2025. Temuan itu baru dipastikan pada 19 Juni 2026 setelah investigasi menyimpulkan bahwa pelaku ancaman memperoleh informasi pribadi milik sejumlah individu.
Sistem yang terdampak digunakan untuk pengelolaan HR, sehingga jenis data yang terekspos cukup sensitif. Berdasarkan contoh surat pemberitahuan, informasi yang terdampak mencakup nama lengkap, alamat pos, alamat email, tanggal lahir, Social Security number, nomor paspor, informasi rekening keuangan termasuk nomor rekening bank, informasi kesehatan, serta data ketenagakerjaan seperti payroll dan laporan performa.
Estée Lauder merupakan salah satu perusahaan kosmetik terbesar di dunia dengan pendapatan tahunan sekitar 14,3 miliar dolar AS. Perusahaan ini mempekerjakan sekitar 57.000 orang dan menjalankan operasi penjualan melalui kanal online maupun toko fisik di berbagai negara.
Meski pemberitahuan Estée Lauder tidak menyebutkan secara eksplisit celah keamanan yang dieksploitasi, waktu terjadinya insiden selaras dengan kampanye eksploitasi massal terhadap Oracle E-Business Suite melalui CVE-2025-61882. Celah tersebut berdampak pada EBS versi 12.2.3 hingga 12.2.14 dan memungkinkan penyerang melewati autentikasi serta menjalankan kode dari jarak jauh melalui komponen BI Publisher Integration.
Pada Oktober 2025, peneliti keamanan memperingatkan bahwa kelompok ransomware Clop telah mengeksploitasi kelemahan tersebut sebagai zero-day untuk mencuri data dari organisasi korban. Oracle kemudian merilis perbaikan untuk CVE-2025-61882 pada 4 Oktober 2025, sementara laporan lain menyebut aktivitas eksploitasi sudah berlangsung sejak awal Agustus 2025.
Kampanye yang sama sebelumnya dikaitkan dengan sejumlah korban besar, termasuk institusi pendidikan, perusahaan media, penyedia layanan teknologi, dan anak perusahaan maskapai. Pola ini menunjukkan bahwa eksploitasi terhadap aplikasi bisnis enterprise masih menjadi jalur menarik bagi pelaku ancaman karena sistem tersebut sering menyimpan data HR, finansial, dan operasional yang bernilai tinggi.
Estée Lauder meminta penerima pemberitahuan untuk tetap waspada terhadap potensi pencurian identitas dan penipuan. Perusahaan juga menawarkan layanan pemantauan identitas gratis selama 24 bulan melalui Kroll bagi individu yang terdampak.
Insiden ini bukan kali pertama Estée Lauder dikaitkan dengan aktivitas Clop. Pada 2023, perusahaan tersebut juga pernah terdampak setelah pelaku ancaman mengeksploitasi zero-day pada platform MOVEit Transfer yang digunakan sebagai salah satu tool internal perusahaan.
