化粧品大手エスティローダー（Estée Lauder）は、人事（HR）管理に使っていたOracle E-Business Suite（EBS）の脆弱性を突かれ、氏名や社会保障番号（SSN）、パスポート番号、健康情報などの個人情報が外部に流出したとして、対象者への通知を開始した。侵害が発生したのは2025年8月9日だが、社内で確認できたのは2026年6月19日で、実に10カ月以上のタイムラグがあったことになる。

侵害の詳細——侵入口はBI Publisherの脆弱性

エスティローダーの通知文によれば、侵入経路はOracle E-Business SuiteのBI Publisher Integrationコンポーネントに存在した脆弱性、CVE-2025-61882とみられる。このCVEはEBSバージョン12.2.3〜12.2.14に影響し、認証を経ずにリモートコード実行が可能になる深刻な欠陥で、Oracleは2025年10月4日に緊急パッチを公開した。GoogleとMandiantの調査によれば、ランサムウェアグループ「Clop」はパッチ公開前の2025年8月上旬から、この脆弱性をゼロデイとして悪用する大規模攻撃キャンペーンをすでに展開していた。

流出したとされる情報は、氏名・住所・メールアドレス・生年月日・社会保障番号（SSN）・パスポート番号・銀行口座情報を含む金融情報・健康情報・給与や人事評価を含む雇用情報と、極めて機微なデータが揃っている。エスティローダーは対象者にKroll社による24カ月間の無料ID監視サービスを提供すると発表した。

Clopによる連続被害と「2度目」という事実

同じ攻撃キャンペーンでは、ハーバード大学、ペンシルベニア大学、ダートマス大学、University of Phoenix、ワシントン・ポスト、Logitech、GlobalLogic、Cox Enterprises、アメリカン航空傘下のEnvoy Airなど、著名な組織が軒並み被害に遭っている。基幹ERPをインターネットに公開している組織がいかに多いかを物語る事例だ。

さらに見逃せないのは、エスティローダーがClopの被害に遭うのはこれが初めてではないという点だ。2023年にもMOVEit Transferのゼロデイ脆弱性を突かれて情報を窃取されている。同じ攻撃グループに、異なるベンダー製品の脆弱性経由で繰り返し侵害される——この構図は他の大企業でも十分起こり得る。

実務への影響

日本国内でもOracle E-Business Suiteを人事・会計の基幹系として使う大企業は少なくない。今回のケースから、IT管理者が見直すべきポイントは以下の通りだ。

  • インターネット公開資産の棚卸し: 基幹ERPは「社内システムだから安全」という思い込みで、外部公開状況が正確に把握されていないケースが多い。External Attack Surface Management（EASM）による定期的な棚卸しが必須。
  • パッチ適用サイクルの見直し: 業務影響を恐れて基幹系のパッチ適用が後回しにされがちだが、ゼロデイで大規模悪用される脆弱性ほど、緊急パッチの適用速度が被害の大きさを分ける。
  • HRシステムのデータ分類と権限の最小化: SSN・パスポート番号・健康情報のような機微データを扱うシステムには、通常業務とは別に、より厳格な認可レイヤーを設けるべき。
  • 侵害検知までの時間短縮: 侵入から発覚まで10カ月というギャップは、ログ監視・異常検知の甘さを示している。SIEM/EDRのルールが実際に機能しているかを定期的に検証する仕組みが必要。

筆者の見解

正直なところセキュリティ分野は細かい話が多く得意領域とは言えないが、こうした事例には技術的にとても興味を惹かれる。BI Publisherという「業務に必須だが目立たないコンポーネント」が侵入口になった点は象徴的で、境界防御・多層防御の考え方がいかに大事かを改めて示している。

筆者は以前からゼロトラストを強く推進する立場で、ネットワーク層・認証層・認可層の3層で守る発想を大事にしている。今回のEBS侵害は、インターネットに公開された基幹システムを「境界の内側にあるから」と過信していた典型例に見える。「今動いているから大丈夫」という判断がどれほど危ういかは、過去の教訓からも明らかだ。基幹ERPだからこそ、常時アクセス可能な状態を極力減らし、必要なときだけアクセスを許可するJust-In-Timeの発想を当てはめるべきだと思う。

もう一つ気になるのは、エスティローダーが2023年のMOVEit事件に続いて再びClopの被害に遭った点だ。同じ攻撃者に繰り返し狙われるということは、防御側の学習が生かされていないか、サプライチェーン全体のリスク管理が追いついていないことを意味する。1つのベンダー製品への対応にとどまらず、「基幹系ソフトウェア全体をどう守るか」という視点への切り替えが、日本企業にとっても急務だと感じる。

出典: この記事は Estée Lauder discloses data breach via Oracle E-Business flaw の内容をもとに、筆者の見解を加えて独自に執筆したものです。