Estée Lauder में 2025 की डेटा सेंध

प्रभावित डेटा हर व्यक्ति के लिए अलग था। इसमें नाम, डाक पते और ईमेल पते, जन्मतिथियाँ, सामाजिक सुरक्षा नंबर और पासपोर्ट नंबर शामिल थे। हासिल की गई फ़ाइलों में बैंक खाता नंबर, स्वास्थ्य संबंधी जानकारी और कार्य-प्रदर्शन मूल्यांकन तथा वेतन भुगतान के इतिहास जैसे रोज़गार रिकॉर्ड भी मौजूद हो सकते थे।

कंपनी ने यह नहीं कहा कि हर प्रभावित व्यक्ति की सूची में दी गई सभी जानकारियाँ उजागर हुई थीं। फिर भी, पहचान, वित्त, स्वास्थ्य और रोज़गार संबंधी जानकारी एक साथ उपलब्ध होने से पहचान की चोरी, नए खाते खोलकर धोखाधड़ी, लक्षित ठगी और कर्मचारियों को निशाना बनाने वाली सोशल इंजीनियरिंग का जोखिम बढ़ता है।

कंपनी ने कहा कि यह घटना मानव संसाधन (HR) कार्यों के लिए इस्तेमाल किए जाने वाले Oracle E-Business Suite सिस्टम की एक सुरक्षा खामी से जुड़ी थी, लेकिन उसकी सूचना में किसी CVE का नाम नहीं दिया गया और न ही हमलावर की पहचान बताई गई। सुरक्षा शोधकर्ताओं ने पाया कि अनधिकृत पहुँच की तारीख 2025 में Oracle EBS इंस्टॉलेशन को निशाना बनाकर चलाए गए एक व्यापक डेटा-चोरी अभियान की अवधि से मेल खाती है। उस अभियान में CVE-2025-61882 सहित कई सुरक्षा खामियों का फायदा उठाया गया था।

समय का यह मेल साबित नहीं करता कि Estée Lauder की घटना के लिए Cl0p नाम का समूह ज़िम्मेदार था। इसलिए यह रिकॉर्ड कंपनी द्वारा पुष्टि की गई Oracle EBS की सुरक्षा खामी और डेटा तक पहुँच को किसी विशेष हमलावर या CVE से जुड़े अपुष्ट संदर्भ से अलग रखता है। हालाँकि घटना में एक विक्रेता के उत्पाद की खामी शामिल थी, प्रभावित इंस्टॉलेशन Estée Lauder के मानव संसाधन (HR) कार्यों के लिए इस्तेमाल होता था और डेटा सेंध की सूचना कंपनी ने जारी की थी।

Estée Lauder ने कहा कि समस्या का पता चलने के बाद उसने प्रमुख बाहरी साइबर सुरक्षा विशेषज्ञों के साथ जाँच शुरू की, ताकि घटना की प्रकृति, दायरा और प्रभावित जानकारी निर्धारित की जा सके। उसने कानून प्रवर्तन एजेंसियों को सूचित किया और सिस्टम की सुरक्षा के लिए अतिरिक्त उपाय लागू किए। पत्र में यह नहीं कहा गया है कि घुसपैठिए की पहुँच लगातार बनी रही या जानकारी सार्वजनिक रूप से प्रकाशित की गई थी।

कंपनी ने अमेरिका (US) में सूचना पाने वाले पात्र लोगों को Kroll के माध्यम से 24 महीनों के लिए निःशुल्क पहचान निगरानी, धोखाधड़ी संबंधी परामर्श और पहचान की चोरी के बाद बहाली की सेवाएँ देने की पेशकश की। आधिकारिक पत्र में पंजीकरण की अंतिम तारीख 31 अक्टूबर 2026 दी गई है। अपुष्ट डेटा फ़ील्ड और हमलावरों के बारे में किए गए दावों को सार्वजनिक रूप से दर्ज घटना के दायरे का हिस्सा नहीं माना गया है।

जिन लोगों का सामाजिक सुरक्षा नंबर या जन्मतिथि प्रभावित हुई है, उन्हें देशभर में काम करने वाले तीनों क्रेडिट ब्यूरो की रिपोर्ट जाँचनी चाहिए और नया ऋण लेकर की जाने वाली धोखाधड़ी का जोखिम कम करने के लिए निःशुल्क सुरक्षा फ्रीज़ लगवाने पर विचार करना चाहिए। हर ब्यूरो में अलग से फ्रीज़ लगवाना ज़रूरी है। अगर आपको कोई अपरिचित खाता, क्रेडिट जाँच का अनुरोध या पते में बदलाव दिखाई दे, तो संबंधित संस्था के समक्ष लिखित आपत्ति दर्ज करें, रिकॉर्ड संभालकर रखें और पहचान की चोरी की रिपोर्ट करने की प्रक्रिया का पालन करें।

अगर बैंक खाता नंबर प्रभावित हुआ है, तो वित्तीय संस्था के ज्ञात आधिकारिक नंबर पर संपर्क करके पता करें कि खाते को बदलना ज़रूरी है या नहीं, और लेनदेन के अलर्ट चालू करें। पासपोर्ट के बारे में आधिकारिक जारीकर्ता प्राधिकरण से मार्गदर्शन लें। ईमेल के ज़रिए माँगने वाले किसी व्यक्ति को पासपोर्ट की तस्वीर या नंबर न भेजें। खाता विवरण, वेतन जमा होने के रिकॉर्ड और कर रिकॉर्ड की नियमित समीक्षा, एक बार की क्रेडिट जाँच की तुलना में अधिक मज़बूत और निरंतर सुरक्षा देती है।

स्वास्थ्य और रोज़गार संबंधी रिकॉर्ड की मदद से ठग मानव संसाधन विभाग, वेतन भुगतान सेवा प्रदाता, स्वास्थ्य योजना या किसी वरिष्ठ अधिकारी का रूप धारण कर सकता है। किसी संदेश में कार्य-प्रदर्शन से जुड़ा सही विवरण, पदनाम या वेतन का इतिहास होने पर भी वह धोखाधड़ी वाला हो सकता है। बैंक खाते में बदलाव, तत्काल धन हस्तांतरण, दस्तावेज़ अपलोड करने या एक बार इस्तेमाल होने वाला कोड देने के किसी भी अनुरोध की पुष्टि कंपनी के किसी ज्ञात माध्यम से करें, न कि संदेश में दी गई संपर्क जानकारी के ज़रिए।

अपराधी “अपना Kroll पंजीकरण पूरा करें” या “अपने वेतन खाते का सत्यापन करें” जैसे संदेशों के साथ घटना की सूचना की नकल कर सकते हैं। भेजने वाले के दिखाए गए नाम पर भरोसा न करें; डोमेन, सूचना की तारीख और प्राप्तकर्ता-विशिष्ट संदर्भ की जाँच करें। अगर कोई अप्रत्याशित कॉल करके पासवर्ड, पूरा सामाजिक सुरक्षा नंबर, बैंक लॉगिन या सत्यापन कोड माँगे, तो कॉल समाप्त कर दें। इसके बाद HR Services या वित्तीय संस्था से खुद संपर्क करें।

टेक्सस के अटॉर्नी जनरल के रिकॉर्ड BR-0005187 के अनुसार, पूरे अमेरिका में 31,859 लोग प्रभावित हुए थे, जिनमें टेक्सस के 1,959 निवासी शामिल थे। जिन लोगों को कंपनी से सीधे सूचना मिली है, उन्हें अपने पत्र में दी गई डेटा की श्रेणियों पर भरोसा करना चाहिए।

यह प्रविष्टि 9 से 12 अगस्त 2025 तक हुई अनधिकृत पहुँच को शामिल करती है। जून 2026 में जाँच के निष्कर्ष तक पहुँचने और जुलाई 2026 में सूचना देने की तारीखें इससे अलग हैं। Estée Lauder की पिछली अन्य साइबर घटनाएँ और Oracle EBS अभियान में प्रभावित अन्य कंपनियाँ इस रिकॉर्ड का हिस्सा नहीं हैं। सार्वजनिक आधिकारिक सूचनाओं में किसी निश्चित CVE या हमलावर की पुष्टि नहीं की गई है।