Estée Lauder notifica una brecha de datos que afecta a sus empleados

The Estée Lauder Companies está notificando a empleados actuales y antiguos un incidente de ciberseguridad en el sistema Oracle E-Business Suite que utiliza para la gestión de recursos humanos. Según la comunicación de la compañía, la intrusión se produjo en torno al 9 de agosto de 2025, aunque no se confirmó internamente hasta el 19 de junio de 2026, cuando la investigación determinó que un tercero no autorizado había accedido al entorno y extraído datos personales.

La información comprometida varía según la persona, pero incluye categorías especialmente sensibles: nombres, datos de contacto, fechas de nacimiento, números de la seguridad social, datos de pasaporte, información bancaria y registros laborales y de salud. La compañía ha trabajado con especialistas externos, ha informado a las autoridades y ofrece servicios de monitorización de identidad y protección frente al fraude a los afectados. Las fechas coinciden con la campaña masiva de explotación de la vulnerabilidad CVE-2025-61882 de Oracle E-Business Suite, con una puntuación de gravedad de 9,8 sobre 10, vinculada al grupo de ransomware Clop, si bien Estée Lauder no ha atribuido públicamente el ataque.

El caso es un recordatorio incómodo para un sector que ha digitalizado a marchas forzadas su relación con clientes y empleados: diagnósticos de piel con IA, programas de fidelización, historiales de compra y datos laborales conviven en plataformas de terceros. Cuando hablamos de cosmética conectada, la seguridad de la información debería figurar en la ficha del producto tanto como el INCI.

Fuente: BleepingComputer — https://www.bleepingcomputer.com/news/security/est-e-lauder-discloses-data-breach-via-oracle-e-business-flaw/