خرق بيانات Estée Lauder لعام 2025

اختلفت البيانات التي طالها الحادث من شخص إلى آخر، وشملت الأسماء والعناوين البريدية وعناوين البريد الإلكتروني وتواريخ الميلاد وأرقام الضمان الاجتماعي وأرقام جوازات السفر. وقد تتضمن الملفات التي جرى الحصول عليها أيضًا أرقام الحسابات المصرفية والمعلومات الصحية وسجلات العمل، مثل تقييمات الأداء وسجل الرواتب.

لم تقل الشركة إن جميع حقول البيانات المذكورة قد انكشفت لكل شخص شمله الحادث. ومع ذلك، فإن الجمع بين معلومات الهوية والبيانات المالية والصحية وبيانات العمل يزيد من مخاطر سرقة الهوية والاحتيال بفتح حسابات جديدة وعمليات الاحتيال الموجّهة والهندسة الاجتماعية التي تستهدف العاملين.

قالت الشركة إن الحادث انطوى على ثغرة في نظام Oracle E-Business Suite المستخدم للموارد البشرية (HR)، لكن إشعارها لم يذكر معرّف CVE ولم يحدد هوية المهاجم. ولاحظ باحثون أمنيون أن تاريخ الوصول يتزامن مع حملة واسعة لسرقة البيانات في عام 2025 استهدفت أنظمة Oracle EBS المثبّتة، واستُغلت فيها عدة ثغرات، من بينها CVE-2025-61882.

لا يثبت هذا التزامن أن المجموعة المعروفة باسم Cl0p كانت مسؤولة عن حادث Estée Lauder. لذلك، يفصل هذا السجل بين الثغرة في Oracle EBS والوصول إلى البيانات اللذين أكدتهما الشركة، وبين المعلومات السياقية غير المؤكدة بشأن جهة محددة أو معرّف CVE بعينه. ورغم أن الحادث انطوى على ثغرة في منتج مورّد، فإن النظام المثبّت الذي طالته الثغرة كان يدعم عمليات الموارد البشرية (HR) لدى Estée Lauder، وهي الشركة التي أصدرت إخطار الخرق.

قالت Estée Lauder إنها، بعد علمها بالمشكلة، بدأت تحقيقًا بمساعدة متخصصين خارجيين بارزين في الأمن السيبراني لتحديد طبيعة الحادث ونطاقه والمعلومات التي طالها. وأبلغت جهات إنفاذ القانون وطبّقت تدابير حماية إضافية تهدف إلى حماية النظام. ولا يذكر الخطاب أن المتسلل ظل محتفظًا بإمكانية الوصول أو أن المعلومات نُشرت علنًا.

عرضت الشركة على متلقي الإشعار المؤهلين في الولايات المتحدة (US) خدمات مجانية لمدة 24 شهرًا عبر Kroll، تشمل مراقبة الهوية واستشارات بشأن الاحتيال والمساعدة في استعادة الهوية بعد سرقتها. والموعد النهائي للتسجيل الوارد في الخطاب الرسمي هو 31 أكتوبر 2026. ولا تُعدّ حقول البيانات غير المتحقق منها والادعاءات بشأن الجهة المهاجمة جزءًا من نطاق الحادث المعلن للعامة.

ينبغي للأشخاص الذين طال الحادث رقم ضمانهم الاجتماعي أو تاريخ ميلادهم مراجعة تقاريرهم لدى مكاتب التقارير الائتمانية الثلاثة التي تعمل على مستوى الولايات المتحدة، والنظر في فرض تجميد أمني مجاني على ملفاتهم الائتمانية للحد من الاحتيال عبر الحصول على ائتمان جديد. ويجب طلب التجميد لدى كل مكتب على حدة. إذا وجدت حسابًا أو استعلامًا ائتمانيًا أو تغييرًا في العنوان لا تعرفه، فاعترض عليه كتابيًا لدى الجهة المعنية، واحتفظ بالسجلات، واتبع إجراءات الإبلاغ عن سرقة الهوية.

إذا كان رقم حسابك المصرفي ضمن البيانات التي طالها الحادث، فاتصل بالمؤسسة المالية باستخدام رقمها الرسمي المعروف لتقييم ما إذا كان يلزم استبدال الحساب، وفعّل تنبيهات المعاملات. واطلب الإرشادات المتعلقة بجواز السفر من الجهة الرسمية المصدرة له، ولا ترسل صورته أو رقمه إلى شخص يطلب ذلك عبر البريد الإلكتروني. وتوفر المراجعة المنتظمة لكشوف الحسابات وإيداعات الرواتب والسجلات الضريبية حماية مستمرة أقوى من فحص ائتماني يُجرى مرة واحدة.

قد تساعد السجلات الصحية وسجلات العمل المحتال على انتحال صفة قسم الموارد البشرية أو مزوّد خدمات الرواتب أو جهة تدير خطة تأمين صحي أو مسؤول تنفيذي. وقد تكون الرسالة احتيالية حتى لو تضمنت معلومة صحيحة عن الأداء أو المسمى الوظيفي أو سجل الرواتب. تحقّق من أي طلب لتغيير الحساب المصرفي أو إجراء تحويل عاجل أو رفع مستند أو تقديم رمز يُستخدم لمرة واحدة عبر قناة معروفة للشركة، لا عبر معلومات الاتصال الواردة في الرسالة.

قد يقلّد المجرمون إشعارات الحادث برسائل من قبيل «أكمل تسجيلك في Kroll» أو «تحقّق من حساب رواتبك». لا تثق باسم العرض الخاص بالمرسل؛ وافحص اسم النطاق وتاريخ الإشعار والمرجع الخاص بالمستلم. أنهِ أي مكالمة غير متوقعة تطلب كلمة مرور أو رقم الضمان الاجتماعي كاملًا أو بيانات تسجيل الدخول المصرفية أو رمز تحقق، ثم بادر أنت بالاتصال بخدمات الموارد البشرية (HR) أو المؤسسة المالية.

يفيد سجل المدعي العام لولاية تكساس BR-0005187 بأن الحادث شمل 31,859 شخصًا في أنحاء الولايات المتحدة، من بينهم 1,959 من سكان تكساس. وينبغي لمن يتلقون إشعارًا مباشرًا من الشركة الاعتماد على أنواع البيانات المذكورة في الخطاب الموجّه إليهم.

يتناول هذا السجل الوصول غير المصرح به من 9 أغسطس إلى 12 أغسطس 2025؛ أما التوصل إلى نتيجة التحقيق في يونيو 2026 والإخطار في يوليو 2026 فهما تاريخان منفصلان. ولا يشمل هذا السجل الحوادث السيبرانية السابقة الأخرى لدى Estée Lauder، ولا الشركات الأخرى التي استهدفتها حملة Oracle EBS. ولم تؤكد الإشعارات الرسمية المتاحة للعامة معرّف CVE محددًا أو إسناد الهجوم إلى جهة بعينها.