Michelin Confirma Violação de Dados Ligada a Ataque ao Oracle EBS

A Michelin foi atingida por um ataque que explorou a CVE-2025-61882, uma vulnerabilidade zero-day crítica no Oracle E-Business Suite com CVSS 9,8, quase o máximo de severidade. A falha está no módulo BI Publisher Integration do Concurrent Processing e permite execução remota de código sem autenticação. Ataques reais começaram em 9 de agosto de 2025, mas sinais de exploração foram detectados desde 10 de julho, semanas antes do patch emergencial da Oracle, lançado só em 4 de outubro. A Michelin diz que apenas dados não sensíveis foram acessados, mas metadados dos 315 GB vazados pelo Cl0p confirmam origem em ambientes Oracle EBS, o que levanta dúvidas sobre a extensão real da exposição.

O ataque faz parte de uma campanha coordenada do Cl0p (vinculado ao FIN11) que já atingiu mais de 100 empresas usando Oracle EBS. Diferente de ataques anteriores com ransomware, essa operação prioriza vazamento em massa: Madison Square Garden teve 210 GB vazados, Logitech, 1,8 TB. Há ainda relatos de que o Cl0p obteve a zero-day de um grupo rival, os Scattered Lapsus$ Hunters, sugerindo um mercado subterrâneo de exploits para sistemas legados críticos.

Empresas que ainda executam Oracle EBS, especialmente nas versões 12.2.3 a 12.2.14, correm risco imediato se não aplicaram os patches de outubro de 2025 ou não isolaram o módulo BI Publisher Integration. A gravidade não está só na pontuação CVSS: é a combinação de 'sem autenticação' + 'execução remota' + 'presença massiva em ambientes financeiros e de supply chain' que torna essa zero-day particularmente perigosa. Além disso, o padrão do Cl0p mostra que a ausência de criptografia ou segmentação adequada nesses sistemas transforma dados 'não sensíveis' em peças-chave para reconhecimento de infraestrutura, movimentação lateral e futuras campanhas de extorsão direcionadas.