エスティ・ローダー、オラクル・イー・ビジネスの脆弱性を悪用したデータ漏洩を公表

化粧品大手のエスティ・ローダーは、同社が人事（HR）業務に使用していたOracle E-Business Suiteの脆弱性をハッカーに悪用されたことを受け、顧客に対しデータ漏洩について通知している。

同社によると、先月、2025年8月9日に発生した侵入を特定し、その結果、攻撃者が「特定の個人の個人情報」を入手したことが判明した。

「エスティ ローダー・カンパニーズが人事管理の目的で使用している『Oracle E-Business Suite』システムの脆弱性に関連するサイバーセキュリティ上の問題を把握しました」と通知には記されている。

「2026年6月19日、当社の調査により、2025年8月9日頃、権限のない第三者がオラクル・E-ビジネス・スイート・システムにアクセスし、特定の個人の個人情報を取得したことが判明しました。」

開示書簡の抜粋によると、流出したデータには以下が含まれます：

• 氏名
• 住所
• 電子メールアドレス
• 生年月日
• 社会保障番号（SSN）
• パスポート番号
• 銀行口座番号を含む金融口座情報
• 健康情報
• 給与明細や業績評価報告書を含む雇用情報

エスティ ローダーは、ニューヨークに本社を置く化粧品大手企業で、年間売上高は143億ドルに上ります。同社は世界第2位の化粧品メーカーであり、5万7,000人の従業員を擁し、世界中でオンラインショップおよび実店舗を展開しています。

エスティ ローダーの発表では、今回の侵入で悪用された脆弱性については明らかにされていないが、侵害が発生した日付は、CVE-2025-61882を通じてOracle E-Business Suiteを標的とした大規模な悪用キャンペーンと一致している。

2025年10月、Googleとマンディアントの研究者は、Clopランサムウェア集団がこの脆弱性をゼロデイとして悪用し、データを窃取する攻撃について警告していた。

この脆弱性はEBSバージョン12.2.3～12.2.14に影響を及ぼし、攻撃者が認証を迂回してBI Publisher Integrationコンポーネントを介してリモートでコードを実行することを可能にし、機密性の高い人事データや業務データへのアクセスを攻撃者に与える可能性があった。

オラクルは2025年10月4日、CVE-2025-61882に対する修正プログラムをリリースした。その直後、サイバーセキュリティ企業のCrowdStrikeは、Clopが2025年8月上旬からこの脆弱性を悪用していたことを確認した。

この同じ攻撃キャンペーンのその他の主な被害者には、ハーバード大学、ペンシルベニア大学、ダートマス大学、フェニックス大学、ワシントン・ポスト紙、ロジテック、グローバルロジック、コックス・エンタープライズ、およびアメリカン航空の子会社であるエンボイ・エアが含まれます。

エスティ・ローダーは、情報漏洩通知書を受け取った人に対し、なりすましや詐欺の兆候に警戒を続けるよう呼びかけている。また、同社はKrollを通じて24ヶ月間の無料身元監視サービスを提供している。

エスティ・ローダーは2023年にもClopによる攻撃を受けており、その際は、同社の社内ソフトウェアツールの一つである「MOVEit Transfer」プラットフォームの別のゼロデイ脆弱性が悪用されていた。