Estée Lauder levou 10 meses para descobrir invasão que expôs passaporte, conta bancária e dados de saúde de funcionários
A companhia notificou funcionários de que um invasor acessou seu sistema Oracle E-Business Suite em agosto de 2025 — e a empresa só identificou o problema em junho de 2026. O caso está ligado à campanha do grupo de extorsão Cl0p e serve de alerta para qualquer negócio que guarde ficha de cliente.
A Estée Lauder notificou funcionários de que um terceiro não autorizado acessou seu sistema Oracle E-Business Suite — plataforma usada para gestão de recursos humanos — e obteve dados pessoais. A parte mais desconfortável do caso não é o roubo em si, e sim o relógio: o acesso ocorreu por volta de 9 de agosto de 2025 e só foi identificado em 19 de junho de 2026.
Segundo a notificação, os dados expostos incluem nome, endereço postal e de e-mail, data de nascimento, número de seguro social, número de passaporte, número de conta bancária, informações de saúde e registros de emprego — inclusive avaliações de desempenho e histórico de folha de pagamento. A empresa não informou quantas pessoas foram afetadas.
A invasão está ligada à exploração em massa da vulnerabilidade CVE-2025-61882, falha de execução remota de código no Oracle E-Business Suite que atinge as versões 12.2.3 a 12.2.14. Pesquisadores do Google e da Mandiant confirmaram, em outubro de 2025, que o grupo de extorsão Cl0p explorou múltiplas vulnerabilidades do Oracle EBS numa campanha ampla.
A companhia contratou especialistas externos de cibersegurança, acionou as autoridades, implementou salvaguardas adicionais e está oferecendo aos afetados 24 meses gratuitos de monitoramento de identidade pela Kroll, com adesão até 31 de outubro de 2026.
Por que isso importa
Beleza é um setor que acumula dado sensível sem perceber. Uma companhia do porte da Estée Lauder tem time de segurança, auditoria e fornecedor global — e ainda assim passou cerca de dez meses sem enxergar o invasor dentro de casa. O recado do caso não é "empresa grande falhou": é que o tempo de detecção, e não só a barreira de entrada, define o tamanho do estrago.
O que muda no salão e na clínica
Um salão ou uma clínica guarda, no software de agenda e em planilhas, exatamente o que vale dinheiro para um criminoso: nome completo, CPF, telefone, endereço, dado de pagamento e — no caso da estética — ficha de anamnese, que é informação de saúde. No Brasil, dado de saúde é tratado como dado pessoal sensível pela LGPD, o que eleva a responsabilidade de quem coleta.
Três perguntas práticas que o caso obriga a fazer: quem, hoje, tem acesso ao seu sistema de agenda e por quê? Por quanto tempo você guarda ficha de cliente que não aparece há anos? E se alguém copiasse sua base amanhã, você saberia — em quanto tempo?
✦ O que você leva daqui
- A Estée Lauder demorou cerca de dez meses para descobrir uma invasão ocorrida em agosto de 2025 no sistema Oracle usado para RH; os dados expostos vão de passaporte e conta bancária a informações de saúde.
- O ataque explora a CVE-2025-61882, numa campanha atribuída ao grupo Cl0p — falha em software de terceiro, não algo exótico feito sob medida contra a marca.
- Para dono de salão ou clínica: sua base de clientes é dado sensível. Revise quem tem acesso ao sistema, apague o que não precisa mais guardar e defina como você descobriria um vazamento.
Moral da história: Não existe negócio pequeno demais para vazar — existe negócio distraído demais para perceber.
