Estée Lauder meldet Datenabfluss durch Oracle-Schwachstelle

Estée Lauder meldet einen Datenabfluss. Angreifer nutzten eine Sicherheitslücke in Oracle E-Business Suite zur Entwendung von Personal- und Kundendaten.

Der US-Kosmetikkonzern Estée Lauder informiert betroffene Personen über einen Datenschutzvorfall in den eigenen Systemen. Im Juni 2026 identifizierte das Unternehmen einen unbefugten Zugriff auf die Software Oracle E-Business Suite, die intern für Personalprozesse eingesetzt wird. Der eigentliche Einbruch erfolgte laut Untersuchungen bereits am 9. August 2025. In dem Benachrichtigungsschreiben beschreibt das Unternehmen den Ermittlungsstand:

„Am 19. Juni 2026 stellten wir durch unsere Untersuchung fest, dass am oder um den 9. August 2025 ein unbefugter Dritter Zugriff auf das System der Oracle E-Business Suite erlangte und personenbezogene Daten bestimmter Personen entwendete.“

Estée Lauder

Betroffene Datenkategorien

Bei dem Vorfall wurden verschiedene Kategorien sensibler Daten entwendet. Nach Angaben des Konzerns gehören zu den abgeflossenen Informationen unter anderem:

• Vollständige Namen und Postadressen
• E-Mail-Adressen und Geburtsdaten
• Sozialversicherungsnummern und Passnummern
• Finanz- und Bankkontoinformationen
• Gesundheitsdaten
• Beschäftigungsdaten einschließlich Gehalts- und Leistungsberichten

Estée Lauder hat seinen Hauptsitz in New York, erzielt einen Jahresumsatz von 14,3 Milliarden US-Dollar und beschäftigt weltweit rund 57.000 Mitarbeiter.

Technische Hintergründe und die Rolle von Clop

Obwohl die Benachrichtigung von Estée Lauder die ausgenutzte Schwachstelle nicht explizit beim Namen nennt, korreliert der Zeitpunkt des Einbruchs mit einer globalen Angriffskampagne. Dabei nutzten Angreifer die Sicherheitslücke CVE-2025-61882 in den Versionen 12.2.3 bis 12.2.14 der Oracle E-Business Suite aus. Die Erpressergruppe Clop setzte diese Schwachstelle ab Anfang August 2025 als Zero-Day-Lücke ein, um Authentifizierungen zu umgehen und über die Komponente BI Publisher Integration schädlichen Code auszuführen.

Oracle stellte am 4. Oktober 2025 Sicherheitsupdates für die Lücke bereit. Neben Estée Lauder wurden im Rahmen derselben Kampagne weitere Organisationen wie Hochschulen, Logistikdienstleister und Medienhäuser kompromittiert. Estée Lauder war bereits im Jahr 2023 Ziel der Gruppe Clop, als eine Lücke in der Software MOVEit Transfer ausgenutzt wurde. Als Schutzmaßnahme bietet das Unternehmen Betroffenen eine zweijährige kostenlose Identitätsüberwachung über den Dienstleister Kroll an.

(red)