Violation de données chez Estée Lauder en 2025

Les données touchées variaient selon les personnes et comprenaient des noms, des adresses postales et électroniques, des dates de naissance, des numéros de sécurité sociale et des numéros de passeport. Des numéros de compte bancaire, des informations de santé et des données professionnelles, telles que des évaluations de performance et des historiques de paie, pouvaient également figurer dans les fichiers obtenus.

L’entreprise n’a pas indiqué que tous les champs énumérés avaient été exposés pour chaque personne touchée. La combinaison d’informations d’identité, financières, médicales et professionnelles accroît néanmoins les risques d’usurpation d’identité, de fraude à l’ouverture de nouveaux comptes, d’escroqueries ciblées et d’ingénierie sociale visant les travailleurs.

L’entreprise a indiqué que l’incident impliquait une vulnérabilité du système Oracle E-Business Suite utilisé pour les ressources humaines, mais sa notification ne mentionnait aucun identifiant CVE et n’identifiait pas l’auteur de l’attaque. Des chercheurs en sécurité ont relevé que la date de l’accès correspond à la période d’une vaste campagne de vol de données menée en 2025 contre des installations d’Oracle EBS, au cours de laquelle plusieurs failles, dont CVE-2025-61882, ont été exploitées.

Cette concordance de dates ne prouve pas que le groupe connu sous le nom de Cl0p était responsable de l’incident chez Estée Lauder. Cette fiche distingue donc la vulnérabilité d’Oracle EBS et l’accès aux données confirmés par l’entreprise des éléments de contexte non confirmés concernant un acteur ou un identifiant CVE précis. Bien qu’une faille dans le produit d’un fournisseur ait été impliquée, l’installation touchée servait aux activités de ressources humaines d’Estée Lauder, et c’est l’entreprise qui a émis la notification de violation de données.

Estée Lauder a déclaré qu’après avoir pris connaissance du problème, elle avait lancé une enquête avec des spécialistes externes de premier plan en cybersécurité afin de déterminer la nature et l’étendue de l’incident, ainsi que les informations touchées. Elle a informé les forces de l’ordre et mis en place des mesures de protection supplémentaires destinées à sécuriser le système. La lettre n’indique pas que l’intrus a continué à avoir accès au système ni que les informations ont été publiées.

L’entreprise a proposé aux destinataires éligibles aux États-Unis 24 mois de services gratuits de surveillance de l’identité, de conseil en cas de fraude et d’assistance à la résolution des conséquences d’une usurpation d’identité, par l’intermédiaire de Kroll. La date limite d’inscription indiquée dans la lettre officielle est le 31 octobre 2026. Les champs de données non vérifiés et les affirmations des acteurs malveillants ne sont pas retenus dans le périmètre public de l’incident.

Les personnes dont le numéro de sécurité sociale ou la date de naissance a été touché devraient consulter leurs rapports de crédit auprès des trois agences nationales d’évaluation du crédit et envisager un gel gratuit de leur dossier de crédit afin de réduire le risque de fraude à l’ouverture de nouveaux crédits. Ce gel doit être demandé séparément auprès de chaque agence. Si vous repérez un compte, une demande de consultation de votre dossier ou un changement d’adresse que vous ne reconnaissez pas, contestez-le par écrit auprès de l’organisme concerné, conservez les documents et suivez la procédure de signalement d’une usurpation d’identité.

Si un numéro de compte bancaire était concerné, contactez l’établissement financier à son numéro officiel connu pour déterminer s’il convient de remplacer le compte, et activez les alertes de transaction. Pour votre passeport, demandez conseil à l’autorité officielle qui l’a délivré et n’envoyez ni sa photo ni son numéro à une personne qui vous le demande par courriel. Un examen régulier des relevés de compte, des versements de salaire et des documents fiscaux offre une protection plus solide dans la durée qu’une vérification ponctuelle du dossier de crédit.

Les données de santé et professionnelles peuvent aider un escroc à se faire passer pour le service des ressources humaines, un prestataire de paie, un organisme d’assurance santé ou un dirigeant. Un message contenant un détail exact sur vos performances, votre intitulé de poste ou votre historique de rémunération peut malgré tout être frauduleux. Vérifiez toute demande de changement de compte bancaire, de virement urgent, de dépôt de document ou de code à usage unique par un canal connu de l’entreprise, plutôt qu’en utilisant les coordonnées figurant dans le message.

Des criminels peuvent imiter les notifications d’incident avec des messages tels que « finalisez votre inscription à Kroll » ou « vérifiez votre compte de paie ». Ne vous fiez pas au nom affiché de l’expéditeur : examinez le nom de domaine, la date de la notification et la référence propre au destinataire. Mettez fin aux appels inattendus vous demandant un mot de passe, votre numéro de sécurité sociale complet, vos identifiants bancaires ou un code de vérification, puis contactez vous-même le service des ressources humaines ou l’établissement financier.

La fiche BR-0005187 du procureur général du Texas indique que 31 859 personnes aux États-Unis ont été touchées, dont 1 959 résidents du Texas. Les personnes qui reçoivent une notification directement de l’entreprise doivent se référer aux types de données mentionnés dans leur propre lettre.

Cette fiche couvre l’accès non autorisé survenu du 9 au 12 août 2025; les conclusions de l’enquête en juin 2026 et la notification de juillet 2026 correspondent à des dates distinctes. Les autres cyberincidents passés d’Estée Lauder et les autres entreprises visées par la campagne contre Oracle EBS ne font pas partie de cette fiche. Les avis officiels publics n’ont confirmé ni un identifiant CVE précis ni l’attribution de l’attaque à un acteur donné.