Estée Lauder meldet Datenleck durch Oracle-Schwachstelle

Was ist passiert

Estée Lauder, einer der größten Namen in der Kosmetikwelt, hat eine Ankündigung gemacht, die die Cybersicherheits-Community erschüttert hat. Das Unternehmen hat begonnen, seine Kunden und Mitarbeiter über eine Datenpanne zu informieren, die auf eine Sicherheitslücke in seinem Oracle E-Business Suite-System zurückzuführen ist, das es zur Verwaltung von Personaloperationen (HR) verwendet. Der in New York ansässige Riese, das zweitgrößte Unternehmen seiner Branche mit einem Jahresumsatz von 14,3 Milliarden US-Dollar und 57.000 Mitarbeitern weltweit, bestätigte, dass Angreifer Zugriff auf sensible persönliche Informationen erlangt haben.

Laut der Mitteilung des Unternehmens ereignete sich der Cyberangriff tatsächlich vor fast einem Jahr, am 9. August 2025. Estée Lauder konnte diesen unbefugten Zugriff jedoch erst im letzten Monat, am 19. Juni 2026, feststellen. Dies bedeutet, dass die Angreifer möglicherweise etwa elf Monate lang unentdeckt in den Systemen geblieben sind und während dieses Zeitraums möglicherweise den Zugriff auf Daten aufrechterhalten haben. In seiner Erklärung sagte das Unternehmen: „Wir wurden auf ein Cybersicherheitsproblem aufmerksam, das eine Schwachstelle im Oracle E-Business Suite-System betrifft, das von den Estée Lauder Companies für HR-Managementzwecke verwendet wird. Am 19. Juni 2026 stellten wir durch unsere Untersuchung fest, dass am oder um den 9. August 2025 eine unbefugte dritte Partei Zugang zum Oracle E-Business Suite-System erlangte und persönliche Informationen bestimmter Personen erhielt.“

Dieser Vorfall ist der zweite große Cyberangriff, den Estée Lauder in den letzten Jahren erlebt hat. Im Jahr 2023 erlitt das Unternehmen ebenfalls eine Datenpanne, als die Ransomware-Bande Clop eine Zero-Day-Schwachstelle in der MOVEit Transfer-Plattform ausnutzte. Dieses Muster wirft ernsthafte Fragen zur Cybersicherheitsinfrastruktur des Unternehmens und seiner Abhängigkeit von Drittanbietersoftware auf.

Welche Daten wurden gestohlen

Basierend auf einem Muster des von Estée Lauder versandten Offenlegungsschreibens ist der Umfang der von den Angreifern erlangten Daten umfangreich und umfasst hochsensible Informationen. Die Daten der betroffenen Personen haben das Potenzial, für eine Vielzahl böswilliger Aktivitäten genutzt zu werden, von Identitätsdiebstahl bis hin zu Finanzbetrug. Die gestohlenen Informationen umfassen:

• Vollständige Namen: Grundlegende Informationen zur Identitätsprüfung und für Social-Engineering-Angriffe.
• Postanschriften: Können für physischen Betrug und Identitätsdiebstahl verwendet werden.
• E-Mail-Adressen: Eine entscheidende Komponente für gezielte Phishing-Angriffe und andere Cyberbetrügereien.
• Geburtsdaten: Ein weiteres wichtiges Informationselement, das häufig bei Identitätsprüfungen verwendet wird.
• Sozialversicherungsnummern (SSNs): Eines der kritischsten persönlichen Daten für US-Bürger. Es öffnet die Tür zu schwerem Betrug, wie dem Eröffnen neuer Kreditkarten, dem Einreichen betrügerischer Steuererklärungen oder der Verwendung bei illegaler Beschäftigung.
• Passnummern: Äußerst wertvolle Daten, die für internationale Reisen und Identitätsfälschung verwendet werden können.
• Finanzkontoinformationen (einschließlich Bankkontonummern): Informationen, die zu direkten finanziellen Verlusten führen können, indem sie Risiken wie das Leeren von Konten oder nicht autorisierte Überweisungen schaffen.
• Gesundheitsinformationen: Die privatesten Informationen über Einzelpersonen, die für Erpressung, Versicherungsbetrug oder Diskriminierung verwendet werden können.
• Beschäftigungsinformationen (einschließlich Gehaltsabrechnungen und Leistungsberichte): Können verwendet werden, um Druck auf Mitarbeiter auszuüben, für Erpressung oder für Wirtschaftsspionageaktivitäten, bei denen sie an konkurrierende Firmen verkauft werden könnten.

Die Tatsache, dass diese Daten zusammen durchgesickert sind, schafft eine weitaus größere Gefahr als das Risiko, das von jedem Datentyp einzeln ausgeht. Angreifer können diese Informationen kombinieren, um sehr detaillierte Profile von Opfern zu erstellen und weitaus überzeugendere Betrugsszenarien zu entwickeln.

Wie der Angriff geschah

Obwohl Estée Lauder die genaue Schwachstelle, die bei dem Angriff ausgenutzt wurde, nicht spezifizierte, fällt das Datum des Einbruchs, August 2025, mit einer Angriffskampagne zusammen, die in der Cybersicherheitswelt große Wellen schlug. In diesem Zeitraum führte die Ransomware-Bande Clop eine groß angelegte Kampagne durch, die auf eine kritische Zero-Day-Schwachstelle in Oracle E-Business Suite abzielte, bekannt als CVE-2025-61882.

Im Oktober 2025 gaben Forscher von Google und Mandiant Warnungen heraus, dass die Clop-Bande diese Schwachstelle aktiv ausnutzte, um Daten zu stehlen. Die Schwachstelle betraf die Versionen 12.2.3 bis 12.2.14 von Oracle E-Business Suite. Sie ermöglichte es Angreifern, Authentifizierungsmechanismen zu umgehen und Code remote über die BI Publisher Integration-Komponente des Systems auszuführen. Das bedeutete, dass Angreifer in das System eindringen konnten, ohne einen Benutzernamen oder ein Passwort zu benötigen, und vollen Zugriff auf sensible HR- und Geschäftsdaten erhielten.

Oracle veröffentlichte am 4. Oktober 2025 Patches für diese kritische Schwachstelle. Wie das Cybersicherheitsunternehmen CrowdStrike jedoch bestätigte, hatte die Clop-Bande bereits Anfang August 2025 begonnen, die Schwachstelle auszunutzen, lange bevor die Patches veröffentlicht wurden. Das Datum des Einbruchs bei Estée Lauder fällt genau in diesen Zeitraum, was darauf hindeutet, dass der Kosmetikriese eines der ersten Opfer der Zero-Day-Angriffe von Clop war.

Zu den weiteren namhaften Opfern derselben Angriffskampagne gehören die Harvard University, die University of Pennsylvania, Dartmouth, die University of Phoenix, The Washington Post, Logitech, GlobalLogic, Cox Enterprises und Envoy Air, eine Tochtergesellschaft von American Airlines. Diese Liste zeigt den großen Umfang und die Wirksamkeit des Angriffs.

Wer ist betroffen

Während Estée Lauder erklärte, dass „bestimmte Personen“ von dem Einbruch betroffen seien, deutet die Tatsache, dass der Angriff auf ein System abzielte, das für das Personalmanagement verwendet wird, stark darauf hin, dass es sich bei den Opfern wahrscheinlich um aktuelle und ehemalige Mitarbeiter des Unternehmens handelt. Die Arten der durchgesickerten Daten, einschließlich Gehaltsabrechnungen, Leistungsberichten und Sozialversicherungsnummern, die direkt mit der Beschäftigung zusammenhängen, untermauern diese Theorie. Das Unternehmen hat keine genaue Zahl der betroffenen Personen bekannt gegeben. Angesichts einer weltweiten Belegschaft von 57.000 Mitarbeitern wird jedoch geschätzt, dass die Daten von potenziell Zehntausenden von Menschen gefährdet sein könnten.

Was Sie tun können

In seinen Schreiben an die von der Datenpanne betroffenen Personen rät Estée Lauder ihnen, wachsam auf Anzeichen von Identitätsdiebstahl und Betrug zu sein. Das Unternehmen bietet außerdem 24 Monate lang kostenlose Identitätsüberwachungsdienste über Kroll an, um diese Risiken zu mindern.

Wenn Sie glauben, von diesem Einbruch betroffen zu sein oder ein Benachrichtigungsschreiben erhalten haben, wird empfohlen, die folgenden Schritte zu unternehmen:

• Überprüfen Sie Ihre Kreditauskünfte: Überprüfen Sie regelmäßig Ihre Kreditauskünfte, um verdächtige Konten oder Anfragen, die in Ihrem Namen eröffnet wurden, zu erkennen.
• Überwachen Sie Ihre Konten: Untersuchen Sie sorgfältig Ihre Bank- und Kreditkartenabrechnungen und melden Sie unbekannte Transaktionen sofort Ihrer Bank.
• Ändern Sie Ihre Passwörter: Wenn Sie Passwörter haben, die mit Estée Lauder in Verbindung stehen, oder auf anderen Plattformen gängige Passwörter verwenden, ändern Sie diese in starke, einzigartige Passwörter.
• Seien Sie vorsichtig bei Phishing-Angriffen: Angreifer können die erlangten persönlichen Informationen verwenden, um Ihnen personalisierte und weitaus überzeugendere Phishing-E-Mails zu senden. Vermeiden Sie das Klicken auf Links oder das Herunterladen von Anhängen aus unbekannten Quellen.
• Aktivieren Sie den Identitätsüberwachungsdienst: Indem Sie sich für den kostenlosen Kroll-Identitätsüberwachungsdienst von Estée Lauder anmelden, können Sie verfolgen, ob Ihre Daten im Dark Web verkauft werden oder ob verdächtige Aktivitäten mit Ihren Anmeldeinformationen durchgeführt werden.

Was das Unternehmen sagt

In seiner Benachrichtigung versucht Estée Lauder, den Vorfall transparent zu erklären. In der Erklärung des Unternehmens heißt es: „Wir wurden auf ein Cybersicherheitsproblem aufmerksam... durch unsere Untersuchung... stellten wir fest, dass eine unbefugte dritte Partei Zugang zum System erlangte und persönliche Informationen erhielt.“ Das Unternehmen gibt an, kostenlose Identitätsüberwachungsdienste zur Unterstützung der betroffenen Personen bereitzustellen und mit Cybersicherheitsexperten zusammenzuarbeiten, um den Vorfall zu untersuchen. Die fast 11-monatige Verzögerung bei der Entdeckung des Ereignisses gibt jedoch Anlass zur Sorge über die Überwachungs- und Reaktionsprozesse des Unternehmens im Bereich der Cybersicherheit. Die Tatsache, dass das Unternehmen zweimal von der Clop-Bande ins Visier genommen wurde, deutet darauf hin, dass es proaktivere Maßnahmen gegen zukünftige Cyberangriffe ergreifen muss.

Quelle

https://www.bleepingcomputer.com/news/security/est-e-lauder-discloses-data-breach-via-oracle-e-business-flaw/