Estée Lauder Confirma Violação de Dados Associada a Falha Crítica em Sistema Oracle E-Business

A confirmação de violação de dados na Estée Lauder, envolvendo o sistema Oracle E-Business Suite (EBS), acende um novo alerta para a segurança de aplicações corporativas críticas. O incidente remonta a agosto de 2025, mas só foi determinado em junho de 2026. A exploração da vulnerabilidade CVE-2025-61882, classificada com severidade 9.8/10, possibilitou a execução remota de código (RCE) sem autenticação prévia. Esta falha permitiu aos atacantes o acesso a informações sensíveis de RH.

Os dados comprometidos são de alto valor para cibercriminosos: nomes completos, endereços, e-mails, datas de nascimento, números de seguro social, passaportes, contas bancárias, informações de saúde e registros de emprego. A gravidade da vulnerabilidade no Oracle EBS, uma plataforma usada por diversas grandes empresas para gestão financeira, de RH e cadeia de suprimentos, destaca o desafio de proteger esses sistemas complexos contra explorações zero-day e a necessidade urgente de gerenciamento proativo de vulnerabilidades.

Em outubro de 2025, o CEVIU News noticiou os primeiros rumores de que cibercriminosos alegavam ter roubado dados do Oracle EBS de dezenas de organizações. Naquela época, havia incerteza se essas alegações eram reais ou uma tática de extorsão. O que vemos agora é a consolidação desses temores. A vulnerabilidade crítica CVE-2025-61882, que foi corrigida em outubro de 2025, provou ser real e amplamente explorada antes da correção.

A confirmação da Estée Lauder, quase um ano após a invasão inicial, adiciona um gigante do varejo à lista de vítimas. A cobertura anterior do CEVIU em 12 de março de 2026, sobre a Michelin também ter confirmado uma violação de dados ligada a um ataque ao Oracle EBS, já indicava a seriedade e o alcance dessa campanha. Agora, temos mais uma prova do impacto devastador da falha.

A violação na Estée Lauder reforça a urgência para empresas que utilizam o Oracle E-Business Suite auditarem seus sistemas e garantirem que todas as correções de segurança, especialmente para vulnerabilidades críticas como a CVE-2025-61882, foram aplicadas. Falhas em sistemas de gestão corporativa são alvos preferenciais, pois concentram um vasto volume de dados sensíveis, desde informações financeiras até dados de RH.

A demora na descoberta e notificação, quase um ano após a invasão, é outro ponto crítico. Isso mostra a dificuldade de detectar intrusões em ambientes complexos e sublinha a importância de estratégias robustas de detecção e resposta a incidentes. A exposição de dados tão detalhados abre portas para fraudes de identidade e outros ataques direcionados contra os indivíduos afetados, com consequências duradouras.