Estée Lauder sofre vazamento massivo de dados após brecha no sistema Oracle

A multinacional de cosméticos Estée Lauder está entrando em contato com funcionários e ex-funcionários após descobrir que dados internos foram comprometidos em uma invasão cibernética realizada por meio do sistema Oracle E-Business Suite (EBS) no meio de 2025.

O grupo sediado em Nova York informou às vítimas que, por volta de 9 de agosto de 2025, um terceiro não autorizado obteve acesso ao seu sistema EBS. O invasor conseguiu extrair informações confidenciais, incluindo nomes, endereços físicos e de e-mail, datas de nascimento, números de Seguro Social dos EUA (equivalente ao CPF), dados de passaporte, informações bancárias, dados de saúde e registros internos de recursos humanos (RH), como folhas de pagamento e avaliações de desempenho.

“Após tomarmos conhecimento do problema com o sistema Oracle E-Business Suite, iniciamos rapidamente uma investigação e trabalhamos com especialistas externos líderes em segurança cibernética para determinar a natureza e a extensão do incidente e quais informações foram afetadas”, declarou a empresa.

“Também notificamos as autoridades policiais e implementamos salvaguardas adicionais para proteger ainda mais o sistema.”

A empresa está oferecendo aos funcionários afetados acesso a serviços de monitoramento de identidade por meio da consultoria Kroll, além de orientá-los a permanecerem atentos a contatos suspeitos.

Gangue de ransomware

Diversas empresas foram comprometidas por meio de suas instâncias do EBS ao longo de um período de três meses, principalmente pela gangue de ransomware Clop (também grafada como Cl0p). Por um tempo, especulou-se que indivíduos associados ao coletivo ShinyHunters estivessem envolvidos na exploração da falha, mas, segundo pesquisadores de ameaças cibernéticas, não houve evidências suficientes para confirmar essa participação.

Acredita-se que muitas dessas invasões tenham se originado de uma série de falhas, com destaque para uma vulnerabilidade de execução remota de código (RCE) no serviço amplamente utilizado, rastreada como CVE-2025-61882. A Oracle corrigiu essa vulnerabilidade específica em outubro de 2025.

A Estée Lauder não confirmou nem negou ter sido atacada pelo grupo Cl0p, tampouco se foi de fato alvo de um ataque de ransomware (sequestro de dados).

Comentando sobre a atualização da empresa, Dray Agha, gerente sênior de operações de segurança da Huntress, afirmou: “O vazamento na Estée Lauder destaca a ameaça em cascata de campanhas de exploração em massa que visam plataformas corporativas como o Oracle EBS. Isso demonstra como uma única vulnerabilidade pode entregar aos atacantes uma mistura altamente tóxica de dados financeiros, de saúde e de identidade dos funcionários, dando-lhes uma vantagem de vários meses para usar essas informações como arma antes mesmo que as vítimas percebam o ocorrido.”

“Além da falha técnica, este é um problema profundamente humano para a indústria do varejo e da beleza. A reputação de uma marca é construída sobre a confiança. Deixar de proteger os registros altamente confidenciais de saúde, finanças e identidade dos próprios colaboradores que representam a empresa cria uma crise pessoal devastadora para a força de trabalho. Para os consumidores socialmente conscientes de hoje, a forma como uma marca protege e trata seu próprio pessoal é tão importante quanto a forma como ela protege os cartões de crédito dos clientes.”

Essa preocupação com a percepção pública surge em um momento estratégico para a gigante americana. Recentemente, a Estée Lauder nomeou uma nova vice-presidente sênior global de comunicação de marca justamente para fortalecer a conexão e a confiança com os consumidores. Além disso, o grupo enfrenta pressões de mercado e busca reestruturar suas operações globais para navegar na nova era do mercado de beleza e reverter retrações recentes em praças importantes.

Ataques generalizados

A gangue de ransomware Cl0p possui um modus operandi consolidado, construído ao longo de várias campanhas distintas nos últimos anos. Historicamente, o grupo busca e explora serviços vulneráveis — frequentemente pacotes de software de transferência de arquivos — e compromete várias vítimas simultaneamente. Essas campanhas costumam ser tão bem-sucedidas que superam a própria capacidade de gestão da gangue, resultando em picos notáveis nas estatísticas globais de ransomware.

A campanha contra o Oracle EBS não foi exceção. Diversas outras vítimas já foram identificadas, muitas delas no setor de ensino superior dos EUA, incluindo universidades da prestigiada Ivy League, como Dartmouth, Harvard e a Universidade da Pensilvânia (Penn).

Outras vítimas conhecidas incluem a Madison Square Garden, famosa arena de esportes e entretenimento em Nova York, e uma subsidiária norte-americana da empresa de eventos e publicações Informa, sediada no Reino Unido.