Estée Lauder、Oracle EBSゼロデイ攻撃による被害を公表

化粧品大手のエスティローダー(Estée Lauder)は、昨年Oracle E-Business Suite(EBS)環境から従業員情報が窃取されたことについて、対象者への通知を開始しました。

同社によると、この事案が発生したのは2025年8月上旬で、悪名高いサイバー犯罪集団Cl0pがOracle EBSのゼロデイ脆弱性CVE-2025-61882の悪用を開始した時期に当たります。この脆弱性は未認証のリモートコード実行(RCE)を可能にするもので、Cl0pはこれを利用して多数の企業からデータを窃取していました。

11月には、100社を超える企業がCl0pのリークサイトに掲載され、そのうち多くが今回のキャンペーンによる被害を認めています。

2026年3月の時点で、Broadcom、Bechtel、Estée Lauder、Abbott Laboratoriesは、このキャンペーンによる影響をまだ公表していない数少ない大手企業として残っていました。Cl0pは、エスティローダーから窃取したとされる870GB分のアーカイブファイルをリークしています。

10月上旬にこのゼロデイ脆弱性が修正されてから数日後、CrowdStrikeは、この脆弱性の実際の悪用が8月9日から始まっていたことを示す証拠を発見したと発表しました。これはエスティローダーが被害を受けたのと同じ日付です。

カリフォルニア州司法長官事務所に提出された(PDF)通知書の写しによると、この化粧品大手は、本件に関する調査の結果、HR管理に使用していたEBS環境から個人情報が窃取されていたことが6月に判明したと、対象者宛ての通知書の中で説明しています。

同社によれば、流出したデータには氏名、住所、生年月日、社会保障番号、パスポート番号、銀行口座番号、健康情報、そして給与情報を含む雇用関連データが含まれています。

エスティローダーは、影響を受けた可能性がある対象者に対し、24カ月間の無料ID監視サービスを提供するとともに、不審なメールやテキストメッセージ、電話への警戒を呼びかけています。

同社は、今回のデータ漏洩について法執行機関に通報済みであるとし、システムの保護体制を強化する対策を講じたとしています。

エスティローダーは、影響を受けた可能性がある対象者の人数については公表していません。SecurityWeekは本件についてさらなる詳細を求め同社にメールで問い合わせており、回答があり次第この記事を更新する予定です。