エスティ ローダー、Oracle E-Business Suiteの脆弱性経由のデータ侵害を公表

化粧品大手のエスティ ローダーは、同社が人事(HR)業務に使用しているOracle E-Business Suiteの脆弱性をハッカーが悪用したことで発生したデータ侵害について、顧客への通知を進めています。

同社によると、先月、2025年8月9日に発生していた侵入を特定し、その結果、脅威アクターが「特定の個人の個人情報」を取得していたことが判明したとのことです。

「エスティ ローダー・カンパニーズがHR管理目的で使用しているOracle E-Business Suiteシステムに関わる脆弱性を含む、サイバーセキュリティ上の問題を把握しました」と通知文には記されています。

「2026年6月19日、調査の結果、2025年8月9日前後に、権限を持たない第三者がOracle E-Business Suiteシステムに不正アクセスし、特定の個人の個人情報を取得していたことが判明しました」

• 氏名
• 住所
• メールアドレス
• 生年月日
• 社会保障番号(SSN)
• パスポート番号
• 銀行口座番号を含む金融口座情報
• 健康情報
• 給与・人事考課記録を含む雇用情報

エスティ ローダーはニューヨークを拠点とする化粧品大手で、年間売上高は143億ドルに上ります。世界第2位の化粧品会社であり、従業員数は57,000人、世界各地でオンライン・実店舗を展開しています。

エスティ ローダーの通知では侵入に悪用された脆弱性は明らかにされていませんが、侵害が発生した時期は、CVE-2025-61882を突いたOracle E-Business Suiteへの大規模な悪用キャンペーンの時期と一致します。

2025年10月、GoogleとMandiantの研究者らは、Clopランサムウェア集団がこの脆弱性をゼロデイとして悪用しデータを窃取した侵害について警告していました。

この脆弱性はEBSバージョン12.2.3〜12.2.14に影響し、攻撃者はBI Publisher Integrationコンポーネントを通じて認証を回避し、リモートでコードを実行できたため、機密性の高いHRデータや業務データへのアクセスを許してしまう可能性がありました。

Oracleは2025年10月4日にCVE-2025-61882の修正パッチを公開しました。その直後、サイバーセキュリティ企業のCrowdStrikeは、Clopが2025年8月上旬からこの脆弱性を悪用していたことを確認しています。

同じキャンペーンによる主な被害者には、ハーバード大学、ペンシルベニア大学、ダートマス大学、フェニックス大学、ワシントン・ポスト、ロジテック、GlobalLogic、Cox Enterprises、そしてアメリカン航空の子会社であるEnvoy Airが含まれます。

エスティ ローダーは、被害通知書を受け取った対象者に対し、なりすましや詐欺の兆候に引き続き注意するよう呼びかけています。また、Kroll社を通じて24か月間の無料ID監視サービスも提供しています。

エスティ ローダーは2023年にも、脅威アクターが同社の社内ソフトウェアツールの一つであるMOVEit Transferプラットフォームの別のゼロデイ脆弱性を悪用したことで、Clopによる侵害を受けています。