Violação de dados da Estée Lauder em 2025

Os dados afetados variavam de pessoa para pessoa e incluíam nomes, endereços postais e de e-mail, datas de nascimento, números de Seguro Social e números de passaporte. Os arquivos obtidos também podiam conter números de contas bancárias, informações de saúde e registros de trabalho, como avaliações de desempenho e histórico de folha de pagamento.

A empresa não afirmou que todas as pessoas afetadas tiveram todos os campos listados expostos. Ainda assim, a combinação de informações de identidade, financeiras, de saúde e de trabalho aumenta o risco de roubo de identidade, fraudes na abertura de contas, golpes direcionados e engenharia social voltada aos trabalhadores.

A empresa informou que o incidente envolveu uma vulnerabilidade no sistema Oracle E-Business Suite usado para RH, mas sua notificação não mencionou um CVE nem identificou o responsável pelo ataque. Pesquisadores de segurança observaram que a data do acesso coincide com uma ampla campanha de roubo de dados realizada em 2025 contra instalações do Oracle EBS, na qual foram exploradas diversas falhas, incluindo a CVE-2025-61882.

Essa coincidência de datas não prova que o grupo conhecido como Cl0p tenha sido responsável pelo incidente da Estée Lauder. Por isso, este registro distingue a vulnerabilidade no Oracle EBS e o acesso aos dados confirmados pela empresa das informações contextuais não confirmadas sobre um agente específico ou um CVE. Embora o incidente tenha envolvido uma falha em um produto de um fornecedor, a instalação afetada atendia às operações de RH da Estée Lauder, e foi a empresa que emitiu a notificação da violação de dados.

A Estée Lauder afirmou que, após tomar conhecimento do problema, iniciou uma investigação com especialistas externos de destaque em segurança cibernética para determinar a natureza e a abrangência do incidente, bem como as informações afetadas. A empresa notificou as autoridades policiais e implementou medidas adicionais para proteger o sistema. A carta não afirma que o invasor manteve acesso contínuo nem que as informações foram divulgadas publicamente.

A empresa ofereceu aos destinatários elegíveis nos Estados Unidos 24 meses gratuitos de monitoramento de identidade, orientação sobre fraudes e assistência para recuperação após roubo de identidade, por meio da Kroll. O prazo de inscrição indicado na carta oficial é 31 de outubro de 2026. Campos de dados não verificados e alegações feitas por agentes de ameaça não são considerados parte do escopo público do incidente.

Se o seu número de Seguro Social ou a sua data de nascimento tiverem sido afetados, consulte seus relatórios nas três agências de crédito de abrangência nacional e considere solicitar um bloqueio de crédito gratuito para reduzir o risco de fraudes na abertura de novas linhas de crédito. O bloqueio deve ser solicitado separadamente em cada agência. Se você encontrar uma conta, consulta de crédito ou alteração de endereço que não reconheça, conteste-a por escrito junto à organização responsável, guarde os registros e siga o procedimento de denúncia de roubo de identidade.

Se um número de conta bancária estiver envolvido, entre em contato com a instituição financeira pelo telefone oficial que você já conhece para avaliar se a conta deve ser substituída e ative alertas de transações. Busque orientações sobre passaportes junto à autoridade oficial emissora e não envie uma imagem ou o número do documento a alguém que o solicite por e-mail. Revisar regularmente extratos bancários, depósitos de salário e registros fiscais oferece uma proteção contínua mais eficaz do que uma única consulta de crédito.

Registros de saúde e de trabalho podem ajudar um golpista a se passar pelo setor de recursos humanos, por um prestador de serviços de folha de pagamento, por um plano de saúde ou por um executivo. Uma mensagem pode ser fraudulenta mesmo que contenha um detalhe correto sobre seu desempenho, cargo ou histórico salarial. Verifique qualquer solicitação de alteração de conta bancária, transferência urgente, envio de documentos ou código de uso único por um canal conhecido da empresa, em vez de usar os dados de contato fornecidos na mensagem.

Criminosos podem imitar notificações do incidente com mensagens como “conclua sua inscrição na Kroll” ou “verifique sua conta de folha de pagamento”. Não confie no nome de exibição do remetente; confira o domínio, a data da notificação e a referência específica do destinatário. Encerre ligações inesperadas que solicitem uma senha, o número completo de Seguro Social, credenciais de acesso bancário ou um código de verificação. Depois, entre em contato diretamente com a equipe de HR Services ou com a instituição financeira.

O registro BR-0005187 da Procuradoria-Geral do Texas informa que 31.859 pessoas nos Estados Unidos foram afetadas, incluindo 1.959 residentes do Texas. Quem receber uma notificação diretamente da empresa deve se basear nos tipos de dados listados em sua própria carta.

Este registro abrange o acesso não autorizado ocorrido de 9 a 12 de agosto de 2025; a conclusão da investigação em junho de 2026 e a notificação em julho de 2026 são datas distintas. Outros incidentes cibernéticos anteriores da Estée Lauder e outras empresas envolvidas na campanha contra o Oracle EBS não fazem parte deste registro. Os comunicados oficiais públicos não confirmaram de forma definitiva um CVE nem a atribuição do ataque a um responsável.