Filtración de datos de Estée Lauder de 2025

Los datos afectados variaban según la persona e incluían nombres, direcciones postales y de correo electrónico, fechas de nacimiento, números del Seguro Social y números de pasaporte. Los archivos obtenidos también podían contener números de cuentas bancarias, información de salud y registros laborales, como evaluaciones de desempeño e historiales de nómina.

La empresa no afirmó que, en el caso de cada persona afectada, se hubieran expuesto todos los datos enumerados. No obstante, la combinación de información de identidad, financiera, de salud y laboral aumenta el riesgo de robo de identidad, fraude mediante la apertura de nuevas cuentas, estafas dirigidas e ingeniería social contra los trabajadores.

La empresa indicó que el incidente estuvo relacionado con una vulnerabilidad del sistema Oracle E-Business Suite utilizado para recursos humanos, pero su notificación no mencionó ningún CVE ni identificó al atacante. Investigadores de seguridad observaron que la fecha de acceso coincide con una amplia campaña de robo de datos de 2025 contra instalaciones de Oracle EBS, en la que se explotaron varias vulnerabilidades, incluida CVE-2025-61882.

Esa coincidencia temporal no demuestra que el grupo conocido como Cl0p fuera responsable del incidente de Estée Lauder. Por ello, este registro distingue entre la vulnerabilidad de Oracle EBS y el acceso a los datos confirmados por la empresa, por un lado, y la información contextual no confirmada sobre un actor o un CVE concreto, por otro. Aunque el incidente estuvo relacionado con una vulnerabilidad en el producto de un proveedor, la instalación afectada daba soporte a las operaciones de recursos humanos de Estée Lauder, y fue la empresa la que emitió la notificación de la filtración.

Estée Lauder declaró que, tras conocer el problema, inició una investigación con destacados especialistas externos en ciberseguridad para determinar la naturaleza y el alcance del incidente, así como la información afectada. Notificó a las autoridades policiales e implementó medidas de seguridad adicionales destinadas a proteger el sistema. La carta no afirma que el intruso mantuviera el acceso ni que la información se publicara.

La empresa ofreció a los destinatarios de Estados Unidos que cumplían los requisitos 24 meses de servicios gratuitos de monitoreo de la identidad, asesoramiento sobre fraude y asistencia para la recuperación tras un robo de identidad, a través de Kroll. El plazo de inscripción indicado en la carta oficial finaliza el 31 de octubre de 2026. Los campos de datos no verificados y las afirmaciones de los actores de amenazas no se consideran parte del alcance público del incidente.

Las personas cuyo número del Seguro Social o fecha de nacimiento se haya visto afectado deben revisar sus informes en las tres agencias de información crediticia de alcance nacional y considerar una congelación de crédito gratuita para reducir el fraude mediante la obtención de nuevos créditos. La congelación debe solicitarse por separado en cada agencia. Si encuentra una cuenta, una consulta de crédito o un cambio de dirección que no reconoce, impúgnelo por escrito ante la organización correspondiente, conserve la documentación y siga el procedimiento de denuncia de robo de identidad.

Si se vio afectado un número de cuenta bancaria, póngase en contacto con la entidad financiera mediante su número oficial conocido para evaluar si conviene sustituir la cuenta. Active también las alertas de transacciones. Solicite orientación sobre el pasaporte a la autoridad oficial que lo expidió y no envíe una imagen ni su número a quien se lo pida por correo electrónico. Revisar periódicamente los extractos de sus cuentas, los ingresos de nómina y los registros fiscales ofrece una protección continua más sólida que consultar su informe crediticio una sola vez.

Los registros de salud y laborales pueden ayudar a un estafador a hacerse pasar por el departamento de recursos humanos, un proveedor de servicios de nómina, un plan de salud o un directivo. Un mensaje que incluya un detalle correcto de una evaluación de desempeño, un cargo o un historial salarial puede ser fraudulento. Verifique cualquier solicitud de cambio de cuenta bancaria, transferencia urgente, carga de documentos o código de un solo uso a través de un canal conocido de la empresa, en lugar de utilizar los datos de contacto del mensaje.

Los delincuentes pueden imitar las notificaciones del incidente con mensajes como «complete su inscripción en Kroll» o «verifique su cuenta de nómina». No confíe en el nombre que se muestra como remitente; revise el dominio, la fecha de la notificación y la referencia específica del destinatario. Cuelgue las llamadas inesperadas en las que le pidan una contraseña, su número completo del Seguro Social, sus credenciales de acceso bancario o un código de verificación y, después, póngase en contacto por su cuenta con los Servicios de Recursos Humanos o con la entidad financiera.

El registro BR-0005187 de la Fiscalía General de Texas informa de que se vieron afectadas 31 859 personas en todo Estados Unidos, entre ellas 1 959 residentes de Texas. Quienes reciban una notificación directa de la empresa deben guiarse por los tipos de datos enumerados en su propia carta.

Esta entrada abarca el acceso no autorizado del 9 al 12 de agosto de 2025; la conclusión de la investigación en junio de 2026 y la notificación de julio de 2026 corresponden a fechas distintas. Otros incidentes cibernéticos anteriores de Estée Lauder y otras empresas incluidas en la campaña contra Oracle EBS no forman parte de este registro. Las notificaciones oficiales públicas no han confirmado un CVE concreto ni una atribución definitiva a un atacante.