ช่องโหว่ใน Oracle E-Busines ทำพิษ Estée Lauder ยอมรับข้อมูลลูกค้ารั่ว หลังโดนแฮก
บริษัทเครื่องสำอางยักษ์ใหญ่ Estée Lauder เปิดเผยเหตุข้อมูลรั่วไหล หลังพบว่าผู้โจมตีอาศัยช่องโหว่ในระบบ Oracle E-Business Suite (EBS) ที่ใช้สำหรับงานบริหารทรัพยากรบุคคล (HR) เพื่อเข้าถึงข้อมูลส่วนบุคคลของผู้เกี่ยวข้องจำนวนหนึ่ง โดยเหตุการณ์เกิดขึ้นตั้งแต่เดือนสิงหาคม 2025 แต่เพิ่งยืนยันผลการสืบสวนและเริ่มแจ้งผู้ได้รับผลกระทบในปีนี้
บริษัทระบุว่า ได้ตรวจพบความผิดปกติเมื่อเดือนที่ผ่านมา และจากการสอบสวนพบว่าผู้โจมตีสามารถเข้าถึงระบบ Oracle E-Business Suite ได้เมื่อวันที่ 9 สิงหาคม 2025 ก่อนขโมยข้อมูลส่วนบุคคลออกไป
Estée Lauder ระบุว่าข้อมูลที่อาจถูกเข้าถึงประกอบด้วยข้อมูลสำคัญหลายประเภท ได้แก่ ชื่อ-นามสกุล ที่อยู่ อีเมล วันเดือนปีเกิด หมายเลขประกันสังคมของสหรัฐฯ (Social Security Number: SSN) หมายเลขหนังสือเดินทาง ข้อมูลบัญชีธนาคาร ข้อมูลด้านสุขภาพ รวมถึงข้อมูลด้านการจ้างงาน เช่น เงินเดือนและผลการประเมินการทำงาน
แม้บริษัทจะไม่ได้เปิดเผยจำนวนผู้ได้รับผลกระทบ แต่ด้วยสถานะของ Estée Lauder ซึ่งเป็นบริษัทเครื่องสำอางรายใหญ่อันดับสองของโลก มีพนักงานกว่า 57,000 คน และดำเนินธุรกิจทั่วโลก เหตุการณ์นี้จึงถือเป็นการรั่วไหลของข้อมูลที่มีความสำคัญอย่างยิ่ง
คาดเชื่อมโยงช่องโหว่ Oracle EBS
แม้ Estée Lauder จะไม่ได้ระบุหมายเลขช่องโหว่ที่ถูกใช้ แต่ช่วงเวลาของเหตุการณ์ตรงกับการโจมตีครั้งใหญ่ที่อาศัยช่องโหว่ CVE-2025-61882 ใน Oracle E-Business Suite
ช่องโหว่ดังกล่าวส่งผลกระทบต่อ Oracle EBS เวอร์ชัน 12.2.3 ถึง 12.2.14 โดยเปิดโอกาสให้ผู้โจมตีข้ามขั้นตอนการยืนยันตัวตน (Authentication Bypass) และรันโค้ดจากระยะไกลผ่านโมดูล BI Publisher Integration ทำให้สามารถเข้าถึงข้อมูลสำคัญของฝ่ายบุคคลและข้อมูลทางธุรกิจได้
เมื่อเดือนตุลาคม 2025 นักวิจัยจาก Google และ Mandiant เปิดเผยว่า กลุ่มแรนซัมแวร์ Clop ใช้ช่องโหว่นี้ในลักษณะ Zero-Day เพื่อขโมยข้อมูลจากองค์กรจำนวนมาก ก่อนที่ Oracle จะออกแพตช์แก้ไขเมื่อวันที่ 4 ตุลาคม 2025 ขณะที่ CrowdStrike ยืนยันในเวลาต่อมาว่า Clop เริ่มใช้ช่องโหว่นี้มาตั้งแต่ต้นเดือนสิงหาคม 2025
องค์กรชื่อดังที่ตกเป็นเหยื่อของแคมเปญเดียวกัน ได้แก่ Harvard University, University of Pennsylvania, Dartmouth College, University of Phoenix, The Washington Post, Logitech, GlobalLogic, Cox Enterprises และ Envoy Air ซึ่งเป็นสายการบินในเครือ American Airlines