Утечка данных Estée Lauder в 2025 году

Состав затронутых данных различался в зависимости от человека и включал имена, почтовые адреса и адреса электронной почты, даты рождения, номера социального страхования и номера паспортов. В полученных файлах также могли содержаться номера банковских счетов, сведения о здоровье и кадровые записи, в том числе оценки работы и история начисления зарплаты.

Компания не утверждала, что у каждого пострадавшего были раскрыты все перечисленные категории данных. Тем не менее сочетание идентификационных, финансовых, медицинских и кадровых сведений повышает риск кражи личности, мошенничества с открытием новых счетов, адресных мошеннических атак и социальной инженерии, направленной на сотрудников.

Компания сообщила, что инцидент был связан с уязвимостью в системе Oracle E-Business Suite, используемой для управления персоналом, но в уведомлении не указала CVE и не назвала злоумышленника. Исследователи в области безопасности отметили, что дата доступа совпадает по времени с масштабной кампанией 2025 года по краже данных из развернутых систем Oracle EBS, в ходе которой эксплуатировались несколько уязвимостей, включая CVE-2025-61882.

Такое совпадение по времени не доказывает, что за инцидентом Estée Lauder стояла группа, известная как Cl0p. Поэтому в этой записи подтвержденные компанией сведения об уязвимости Oracle EBS и доступе к данным отделены от неподтвержденной информации о конкретном злоумышленнике или CVE. Хотя инцидент был связан с уязвимостью в продукте поставщика, затронутая система обеспечивала кадровые процессы Estée Lauder, и уведомление об утечке выпустила сама компания.

Estée Lauder сообщила, что, узнав о проблеме, начала расследование с участием ведущих внешних специалистов по кибербезопасности, чтобы определить характер и масштаб инцидента, а также выяснить, какие данные были затронуты. Компания уведомила правоохранительные органы и внедрила дополнительные меры, направленные на защиту системы. В письме не говорится, что у нарушителя сохранялся доступ к системе или что данные были опубликованы в открытом доступе.

Компания предложила получателям уведомления в США, отвечающим условиям программы, бесплатные услуги Kroll на 24 месяца: мониторинг использования персональных данных, консультации по вопросам мошенничества и помощь в устранении последствий кражи личности. В официальном письме указан крайний срок регистрации: 31 октября 2026 года. Неподтвержденные сведения о составе данных и заявления злоумышленников не включаются в публичное описание масштаба инцидента.

Если инцидент затронул ваш номер социального страхования или дату рождения, проверьте отчеты во всех трех общенациональных бюро кредитных историй и рассмотрите возможность бесплатной заморозки кредитной истории, чтобы снизить риск мошенничества с оформлением новых кредитов. Заморозку необходимо оформлять отдельно в каждом бюро. Если вы обнаружите счет, запрос на проверку кредитной истории или изменение адреса, о которых вам ничего не известно, оспорьте их письменно в соответствующей организации, сохраните документы и следуйте процедуре подачи сообщения о краже личности.

Если был затронут номер банковского счета, свяжитесь с финансовой организацией по ее известному официальному номеру, чтобы уточнить, нужно ли открыть новый счет взамен прежнего, и включите уведомления об операциях. За рекомендациями по вопросам паспорта обращайтесь в официальный орган, который его выдал, и не отправляйте изображение паспорта или его номер тем, кто запрашивает их по электронной почте. Регулярная проверка выписок по счетам, поступлений зарплаты и налоговых документов обеспечивает более надежную долгосрочную защиту, чем однократная проверка кредитной истории.

Медицинские и кадровые записи могут помочь мошеннику выдать себя за сотрудника отдела кадров, представителя поставщика услуг по расчету зарплаты или программы медицинского страхования либо за руководителя. Сообщение с точными сведениями о результатах вашей работы, должности или зарплате за прошлые периоды все равно может быть мошенническим. Проверяйте любые просьбы изменить реквизиты банковского счета, срочно перевести деньги, загрузить документ или сообщить одноразовый код через известный вам канал связи с компанией, а не по контактам, указанным в сообщении.

Преступники могут имитировать уведомления об инциденте, используя темы вроде «завершите регистрацию в Kroll» или «подтвердите свою учетную запись в системе расчета зарплаты». Не доверяйте отображаемому имени отправителя; проверяйте домен, дату уведомления и индивидуальный идентификатор получателя. Прерывайте неожиданные телефонные звонки, во время которых у вас просят пароль, полный номер социального страхования, данные для входа в интернет-банк или код подтверждения, а затем самостоятельно свяжитесь с HR Services или финансовой организацией.

В записи BR-0005187 генерального прокурора Техаса сообщается, что по всей территории США пострадали 31 859 человек, в том числе 1 959 жителей Техаса. Если вы получили уведомление непосредственно от компании, ориентируйтесь на категории данных, перечисленные в вашем письме.

Эта запись охватывает несанкционированный доступ с 9 по 12 августа 2025 года; июнь 2026 года, когда в ходе расследования был установлен факт хищения данных, и июль 2026 года, когда было выпущено уведомление, отдельные даты. Другие прошлые киберинциденты Estée Lauder и другие компании, затронутые кампанией против Oracle EBS, не входят в эту запись. В публичных официальных уведомлениях не подтверждены ни конкретная CVE, ни причастность определенного злоумышленника.