Kosmetik raksasa Estée Lauder mengumumkan kebocoran data setelah peretas mengeksploitasi kerentanan zero-day di Oracle E-Business Suite yang digunakan perusahaan untuk operasi human resources. Data yang bocor mencakup informasi pribadi, keuangan, dan kesehatan karyawan yang tersimpan di platform tersebut.
APA YANG TERJADI?
Estée Lauder, perusahaan induk dari brand kosmetik ternama seperti Clinique, MAC, dan La Mer, mengkonfirmasi bahwa mereka telah menjadi korban serangan siber yang mengeksploitasi kerentanan zero-day di Oracle E-Business Suite (EBS). Serangan ini terjadi pada Agustus 2025, namun dampaknya baru diungkapkan secara publik pada Juli 2026 setelah proses investigasi internal selesai.
Peretas berhasil mengekstrak data dari modul human resources di Oracle EBS, termasuk informasi pribadi karyawan, data keuangan, dan informasi kesehatan yang dilindungi. Perusahaan menyatakan bahwa mereka segera mengaktifkan incident response plan, memulihkan sistem yang terdampak, dan memperkuat pertahanan keamanan setelah insiden terdeteksi.
DETAIL TEKNIS
Kerentanan yang dieksploitasi adalah zero-day di Oracle E-Business Suite — software ERP enterprise yang digunakan oleh ribuan perusahaan global untuk mengelola operasi bisnis, termasuk HR, supply chain, dan financial management. Oracle telah merilis patch untuk kerentanan ini, namun Estée Lauder dilaporkan tertidak melakukan patching sebelum serangan terjadi.
Yang signifikan dari kasus ini adalah lamanya waktu antara insiden (Agustus 2025) dan disclosure publik (Juli 2026) — hampir 11 bulan. Selama periode itu, perusahaan harus menentukan ruang lingkup data yang bocor, mengevaluasi dampak terhadap karyawan, dan mempersiapkan notifikasi yang diperlukan. Estée Lauder tidak mengungkapkan apakah ada grup ransomware yang mengklaim tanggung jawab, atau apakah data yang dicuri telah dipublikasikan di forum gelap.
DAMPAK TERHADAP INDONESIA
Oracle E-Business Suite digunakan secara luas di Indonesia oleh perusahaan multinasional, BUMN, dan organisasi besar lainnya untuk mengelola operasi bisnis kritis termasuk HR dan financial management. Serangan terhadap sistem ERP seperti ini sangat berbahaya karena data yang tersimpan bersifat sensitif dan komprehensif — mencakup data pribadi karyawan, kompensasi, tunjangan kesehatan, dan informasi keuangan organisasi.
UU Pelindungan Data Pribadi (PDP Law) menuntut organisasi Indonesia melindungi data karyawan dan stakeholder dari akses tidak sah. Dalam kasus seperti Estée Lauder, organisasi yang mengalami breach serupa di Indonesia wajib memberikan notifikasi kepada subjek data dan otoritas terkait. BSSN dan Kementerian Kominfo perlu memastikan bahwa organisasi yang menggunakan Oracle EBS di Indonesia sudah menerapkan patch terbaru dan memiliki incident response plan yang memadai. Kasus Estée Lauder menjadi pengingat bahwa zero-day di software enterprise bisa memiliki dampak yang sangat luas jika tidak ditangani dengan proaktif.
REKOMENDASI MITIGASI
Segera terapkan patch Oracle E-Business Suite terbaru yang menangani zero-day yang dieksploitasi. Evaluasi exposure terhadap modul HR dan financial untuk memastikan data sensitif terlindungi dengan enkripsi at-rest. Implementasikan network segmentation untuk memisahkan ERP systems dari jaringan umum. Aktifkan monitoring dan logging yang ketat untuk mendeteksi aktivitas mencurigakan pada akses ERP.
Untuk organisasi: pastikan vendor relationship management termasuk patch SLA yang jelas untuk software enterprise kritis. Implementasikan data loss prevention (DLP) pada exit point ERP system untuk mendeteksi exfiltration data dalam jumlah besar. Latih tim IT tentang indicators of compromise (IOC) yang spesifik untuk ERP exploitation.
Analisa Retasan
Kasus Estée Lauder menambah daftar panjang serangan terhadap Oracle E-Business Suite yang sudah berlangsung selama beberapa tahun terakhir. Sebagai salah satu platform ERP enterprise paling banyak digunakan di dunia, Oracle EBS menjadi target strategis bagi peretas karena satu eksploitasi bisa mengakses data dari berbagai modul bisnis — dari HR hingga supply chain dan financial. Data yang tersimpan di ERP bukan hanya informasi operasional, tetapi juga data pribadi karyawan yang dilindungi hukum.
Lamanya waktu antara insiden dan disclosure — hampir 11 bulan — menunjukkan kompleksitas response terhadap breach di sistem enterprise. Berbeda dengan breach yang terjadi pada aplikasi web, breach di ERP memerlukan analisis mendalam tentang data apa saja yang diakses, dari modul mana, dan bagaimana data tersebut digunakan selama masa dwell time peretas. Estée Lauder harus menyelesaikan seluruh analisis ini sambil menjaga operasi bisnis tetap berjalan.
Bagi organisasi Indonesia yang mengandalkan Oracle EBS atau ERP serupa, pelajaran utamanya adalah proaktif patching. Zero-day memang tidak bisa dipatch sebelum tersedia, tetapi response time setelah patch dirilis menjadi kritis. Organisasi perlu memiliki patch management pipeline yang mampu menerapkan security update untuk software enterprise dalam hitungan hari, bukan berminggu-minggu. Ini adalah investasi yang jauh lebih murah daripada menangani konsekuensi breach yang sudah terjadi.
Sumber: SecurityWeek — Estée Lauder Discloses Impact From Oracle EBS Zero-Day Hack
Sumber tambahan: BleepingComputer — Estée Lauder Discloses Data Breach via Oracle E-Business Flaw
