Pismo z 17 lipca o pewnej sobocie w sierpniu

Pismo wyszło z 767 Fifth Avenue w Nowym Jorku 17 lipca 2026 roku. Ma cztery strony, jest napisane jasno i informuje czytelnika, że 19 czerwca 2026 roku The Estee Lauder Companies ustaliła w toku swojego dochodzenia, iż 9 sierpnia 2025 roku lub w okolicach tej daty nieupoważniona osoba trzecia uzyskała dostęp do systemu Oracle E-Business Suite i pozyskała dane osobowe określonych osób. System ten, głosi pismo, jest używany przez spółkę do zarządzania kadrami.

Przeczytajcie obie daty razem. Dostęp nastąpił w sobotę w sierpniu 2025 roku. Spółka ustaliła w piątek w czerwcu 2026 roku, że nastąpił. Między tymi dwoma faktami leżą 314 dni, w których dane były już poza firmą, a nikt o tym nie wiedział. Pismo tego nie omija. Podaje obie daty w jednym zdaniu, co jest większą szczerością, niż osiąga większość powiadomień.

Estee Lauder zrobił to, co robi kompetentny podmiot, gdy już wie: wszczął dochodzenie z udziałem zewnętrznych ekspertów, powiadomił organy ścigania, wprowadził dodatkowe zabezpieczenia w systemie i zaoferował 24 miesiące monitorowania tożsamości przez Kroll z terminem zgłoszenia do 31 października 2026 roku. Nic z tego nie jest ciekawą częścią. Ciekawą częścią jest owych 314 dni i to, z czego się składały.

Szybkość łatania nigdy nie była tu zmienną

Poprawka jeszcze nie istniała. Włamanie wpisuje się w kampanię masowego wykorzystywania Oracle E-Business Suite przez CVE-2025-61882, przypisaną później grupie wymuszeniowej Clop. Oracle opublikowało poprawkę 4 października 2025 roku. Odliczcie wstecz do 9 sierpnia 2025 roku, a otrzymacie 56 dni. Napastnik był w budynku osiem tygodni, zanim producent wysłał zamek.

Ma to znaczenie z powodu tego, co pokazuje się większości rad nadzorczych. Slajd o bezpieczeństwie w materiale kwartalnym to zwykle wskaźnik zgodności łatek: odsetek krytycznych poprawek nałożonych w uzgodnionym terminie. To prawdziwa liczba i mierzy prawdziwą dyscyplinę. Na ten wynik nie miała najmniejszego wpływu. Firma ze stuprocentową zgodnością i terminem 14 dni zostałaby naruszona dokładnie w tę samą sobotę, bo w tę sobotę nie było czego nakładać.

Owszem, ale luka była osiągalna. Oracle opisało ją jako pozwalającą nieuwierzytelnionym napastnikom z dostępem sieciowym zdalnie wykonać kod przez HTTP, w wersjach E-Business Suite od 12.2.3 do 12.2.14. Oto decyzja, która naprawdę była dostępna z wyprzedzeniem: nie jak szybko łatacie, lecz czy moduł kadrowy wewnątrz ERP w ogóle powinien odpowiadać na żądania HTTP z segmentu sieci, do którego dosięgnie nieuwierzytelniony obcy. Nikt nie podejmuje tej decyzji w trakcie incydentu. Zapada ona lata wcześniej, zwykle u kogoś, kto chciał, by integracja działała do piątku.

Co moduł kadrowy naprawdę przechowywał

Pismo wylicza, co pozyskała osoba trzecia: imiona i nazwiska, adresy pocztowe i poczty elektronicznej, daty urodzenia, numery ubezpieczenia społecznego, numery paszportów, dane rachunków finansowych w postaci numerów kont bankowych, informacje zdrowotne oraz dane związane z zatrudnieniem, takie jak oceny wyników i dane płacowe. Pismo odnotowuje, że zakres danych różnił się dla każdej osoby.

Nie taka jest reputacja systemu kadrowego. Poproście większość kierownictwa o wskazanie klejnotów koronnych, a usłyszycie bazę klientów, kod źródłowy, księgę główną. Moduł kadrowy rzadko trafia na listę, bo w głowach jest odłożony jako narzędzie administracyjne. W praktyce jest w niemal każdej firmie jedynym miejscem, gdzie dokumenty tożsamości, dane bankowe i dokumentacja zdrowotna leżą w jednym schemacie, indeksowane numerem pracownika i przechowywane dekadę, bo tak nakazuje prawo pracy.

Asymetrię warto nazwać wprost. Rekord klienta wypuszcza adres poczty elektronicznej i historię zakupów. Ten rekord wypuszcza dokumenty, którymi człowiek dowodzi, że istnieje. Hasło można wydać na nowo. Wydanie na nowo numeru paszportu wymaga państwa.

Te 314 dni to problem wykrywania, a nie reagowania

Podzielcie oś czasu na trzy przedziały, które naprawdę zawiera. Od 9 sierpnia 2025 do 19 czerwca 2026 to 314 dni niewykrytej straty. Od 19 czerwca do pisma z 17 lipca 2026 to 28 dni dochodzenia, ustalania zakresu i analizy prawnej. A przed tym wszystkim stoi decyzja architektoniczna, która postawiła osiągalny moduł ERP przed siecią.

Tylko dwa z tych trzech leżą po waszej stronie. Owe 28 dni to proces, a proces da się wyregulować: możecie dziś ustalić, kto redaguje powiadomienie, kto je podpisuje i ile dni kosztuje analiza prawna. Architektura to kapitał i czas, i to tam siedzi prawdziwa dźwignia. Te 314 dni są pozostałością. Są tym, co się dzieje, gdy system jest dość ważny, by trzymać paszporty, i dość nieważny, by nikt nie czytał jego dzienników.

Sedno. Wykrywanie nie jest narzędziem, które się kupuje, lecz następstwem tego, co postanowiliście monitorować, a monitorowanie idzie za klasyfikacją. Estee Lauder nie zaniedbał reakcji. Zareagował w ciągu dni od chwili, gdy się dowiedział. Zaniedbanie, jeśli to słowo w ogóle pasuje, wydarzyło się w jakieś spokojne popołudnie, gdy ktoś sklasyfikował moduł kadrowy jako mało krytyczny i poszedł dalej. Ta decyzja była odwracalna przez dziesięć miesięcy i przez większość tego czasu odwracalna za darmo.

Trzy pytania do waszego własnego ERP w tym tygodniu

Najpierw pytanie inwentaryzacyjne. Wypiszcie każdy system trzymający dokumenty tożsamości, dane bankowe lub zdrowotne, którego wasz rejestr zasobów dziś nie klasyfikuje jako krytyczny. W większości europejskich firm odpowiedź obejmuje co najmniej moduł kadrowy lub płacowy, a często stare narzędzie do rozliczania wydatków. Ta lista to wasz prawdziwy rejestr klejnotów koronnych, i zwykle jest krótsza, niż się obawiano, i inna, niż oczekiwano.

Potem pytanie o osiągalność. Dla każdego z tych systemów: kto może go dosięgnąć bez uwierzytelnienia i skąd. Nie kto powinien. Kto może. Zgodnie z RODO obowiązek administratora ciąży na tych danych niezależnie od tego, który dział wewnętrzny prowadzi budżet, a 72-godzinny termin zgłoszenia nie przejmuje się tym, że moduł był cudzym projektem.

Na koniec pytanie dowodowe. Gdyby ktoś sięgnął dziś tego systemu, co by wam o tym powiedziało i ile trwałoby to powiedzenie. Jeśli szczerą odpowiedzią jest komunikat producenta albo telefon od organów ścigania, to wasz interwał wykrycia dla tego systemu mierzy się w tych samych jednostkach co u Estee Lauder, i wiecie to od chwili, gdy skończyliście czytać to zdanie.

Czytaj dalej: OpenSSL naprawił to w czerwcu, bez żadnego CVE  |  Jedna komisarz zatrzymała kampus o mocy 2 gigawatów