A gigante da cosmética Estée Lauder está a notificar clientes e funcionários sobre uma grave violação de dados resultante da exploração de uma vulnerabilidade no software de recursos humanos da empresa. Segundo a carta de notificação divulgada no DocumentCloud, o incidente expôs informações altamente sensíveis, desde detalhes financeiros a relatórios de desempenho.
A intrusão ocorreu originalmente a 9 de agosto de 2025, mas a multinacional nova-iorquina, que regista receitas anuais de 14,3 mil milhões de dólares e emprega 57 000 pessoas, apenas concluiu a investigação a 19 de junho de 2026. Os invasores conseguiram contornar os sistemas de segurança e extrair uma vasta lista de dados que inclui nomes completos, moradas, endereços de email, datas de nascimento, números de Segurança Social, números de passaporte, informações de saúde e relatórios de folha de pagamento.
Falha no sistema serviu de porta de entrada
O acesso indevido foi concretizado através do Oracle E-Business Suite, a plataforma utilizada pela marca para a gestão interna de recursos humanos. Na comunicação oficial, a empresa explica que a vulnerabilidade no Oracle permitiu que terceiros não autorizados obtivessem os ficheiros afetados.
O período do ataque coincide com uma campanha massiva orquestrada pelo grupo de ransomware Clop. Investigadores da Google e da Mandiant alertaram em outubro de 2025 que os piratas informáticos exploraram a falha CVE-2025-61882 como um zero-day desde o início de agosto de 2025. Este defeito de segurança comprometeu as versões 12.2.3 a 12.2.14 da plataforma, abrindo portas à execução remota de código através da integração do componente BI Publisher. As correções necessárias só foram lançadas a 4 de outubro de 2025. A falha atingiu também outras dezenas de entidades, como a Universidade de Harvard, o The Washington Post, a Logitech e a subsidiária da American Airlines, Envoy Air.
Histórico de ataques e proteção às vítimas
Esta não é a primeira vez que a marca de cosmética é alvo do grupo Clop. Já em 2023, a Estée Lauder tinha sofrido um ataque grave quando a mesma organização criminosa explorou outro zero-day, desta vez na plataforma de transferência de ficheiros MOVEit.
Para tentar mitigar os riscos atuais, a multinacional aconselha os indivíduos afetados a manterem-se atentos a potenciais sinais de fraude ou roubo de identidade, disponibilizando 24 meses de serviços gratuitos de monitorização através da Kroll. Para o público e funcionários afetados fora dos Estados Unidos, como na Europa, a exposição de passaportes e dados de contas bancárias representa o maior perigo imediato, exigindo cuidado redobrado com quaisquer comunicações ou esquemas de phishing que tentem rentabilizar a informação exposta.
Nenhum comentário
Seja o primeiro!