Laut einem Muster des Benachrichtigungsschreibens gehören zu den offengelegten Daten persönliche Informationen bestimmter Betroffener. Welche konkreten Datentypen betroffen waren, geht aus dem vorliegenden Quelltext nicht hervor. Estée Lauder teilte mit, man habe am 19. Juni 2026 im Zuge der Untersuchung festgestellt, dass der unbefugte Zugriff auf das Oracle-E-Business-Suite-System am oder um den 9. August 2025 erfolgt sei.
Das Unternehmen beschreibt den Vorfall als Angriff auf ein Oracle-E-Business-Suite-System, das für HR-Management-Zwecke genutzt wird. In der Mitteilung heißt es, man sei auf ein Cybersicherheitsproblem aufmerksam geworden, das eine Schwachstelle in diesem System betraf. Die Folge war nach Unternehmensangaben, dass eine unbefugte dritte Partei an personenbezogene Daten bestimmter Personen gelangte.
Estée Lauder nennt die ausgenutzte Schwachstelle nicht beim Namen. Der Zeitpunkt des Einbruchs deckt sich jedoch mit der massenhaften Ausnutzung von CVE-2025-61882 gegen Oracle E-Business Suite. Google und Mandiant warnten im Oktober 2025 vor Sicherheitsverletzungen, bei denen die Clop-Ransomware-Gruppe die Lücke als Zero-Day einsetzte, um Daten zu stehlen.
Betroffen waren Oracle-E-Business-Suite-Versionen 12.2.3 bis 12.2.14. Die Schwachstelle ermöglichte es Angreifern, die Authentifizierung zu umgehen und über die Komponente BI Publisher Integration aus der Ferne Code auszuführen. Dadurch konnten sie potenziell Zugriff auf sensible HR- und Geschäftsdaten erhalten.
Oracle veröffentlichte Korrekturen für CVE-2025-61882 am 4. Oktober 2025. Kurz darauf bestätigte CrowdStrike, dass Clop die Schwachstelle bereits seit Anfang August 2025 ausgenutzt hatte. Als weitere bekannte Opfer derselben Kampagne nennt der Quelltext Harvard, die University of Pennsylvania, Dartmouth, die University of Phoenix, The Washington Post, Logitech, GlobalLogic, Cox Enterprises und die American-Airlines-Tochter Envoy Air.
Estée Lauder rät den Empfängern des Benachrichtigungsschreibens, auf Anzeichen von Identitätsdiebstahl und Betrug zu achten. Zudem bietet das Unternehmen über Kroll für 24 Monate eine kostenlose Identitätsüberwachung an.
Für Estée Lauder ist es nicht der erste Vorfall mit Bezug zu Clop. Bereits 2023 wurde das Unternehmen kompromittiert, als die Gruppe eine andere Zero-Day-Schwachstelle in der Plattform MOVEit Transfer ausnutzte, einem der internen Softwarewerkzeuge des Konzerns.