化粧品大手のエスティローダーは、同社の人事業務で使用しているOracle E-Business Suite(EBS)の脆弱性に関連したデータ侵害を公表しました。
エスティローダーは世界最大級の美容関連企業の一つで、プレステージ市場向けのスキンケア、メイクアップ、フレグランス、ヘアケアブランドを展開していることで知られています。
「当社はOracle E-Business Suiteシステムの脆弱性に関わるサイバーセキュリティ問題を認識しました。このシステムはエスティローダー・カンパニーズが人事管理目的で使用しているものです」と、同社は通知の中で述べています。
「2026年6月19日、当社は調査を通じて、2025年8月9日前後に不正な第三者がOracle E-Business Suiteシステムに侵入し、特定の個人の個人情報を取得していたことを確認しました」
持ち出されたデータの種類は個人によって異なります。通知によると、氏名、郵送先住所・メールアドレス、生年月日、社会保障番号、パスポート番号、銀行口座番号、健康情報、さらには人事評価や給与履歴といった雇用記録が含まれていました。
この問題の発覚を受け、エスティローダーは外部のサイバーセキュリティ専門家を招き、法執行機関に通報するとともに、システムへの安全対策を強化したとしています。同社はまた、Krollを通じて24カ月間の無料ID監視サービスを提供しており、申し込み期限は2026年10月31日となっています。
「なりすまし被害や詐欺行為を防ぐため、口座、明細書、信用情報などを確認し、不審な兆候がないか引き続きご注意ください」と同社は付け加えています。
今回の通知では侵害の実行者は特定されていませんが、侵害発生日はCVE-2025-61882を悪用したOracle E-Business Suiteへの大規模攻撃キャンペーンの開始時期と一致しています。
2025年10月、GoogleとMandiantの研究者は、Cl0p恐喝グループがCVE-2025-61882のゼロデイ脆弱性を含む複数のOracle E-Business Suiteの脆弱性を悪用したことを確認し、2025年8月に複数の被害組織から大量のデータを窃取していたと報告しました。
この脆弱性により、認証を経ていない攻撃者がネットワーク経由でHTTP経由のリモートコード実行を行うことが可能となっており、影響を受けるのはOracle E-Business Suiteのバージョン12.2.3から12.2.14までとなっています。
Oracleは2025年10月4日にCVE-2025-61882に対する修正パッチをリリースしています。
翻訳元: https://www.helpnetsecurity.com/2026/07/21/estee-lauder-data-breach-oracle-ebs/
