L'intrusion précède le correctif de huit semaines

Une lettre du 17 juillet au sujet d'un samedi d'août

La lettre est partie du 767 Fifth Avenue à New York le 17 juillet 2026. Elle fait quatre pages, elle est écrite clairement, et elle indique au lecteur que le 19 juin 2026 The Estee Lauder Companies a établi par son enquête que, le 9 août 2025 ou aux alentours, un tiers non autorisé a obtenu l'accès au système Oracle E-Business Suite et s'est procuré des informations personnelles de certaines personnes. Ce système, précise la lettre, est utilisé par l'entreprise pour la gestion des ressources humaines.

Lisez les deux dates ensemble. L'accès a eu lieu un samedi d'août 2025. L'entreprise a établi qu'il avait eu lieu un vendredi de juin 2026. Entre ces deux faits s'intercalent 314 jours durant lesquels les données étaient parties et personne ne le savait. La lettre n'esquive pas. Elle énonce les deux dates dans la même phrase, ce qui est plus de franchise que n'en produisent la plupart des notifications.

Estee Lauder a fait ce que fait un intervenant compétent une fois informé: ouverture d'une enquête avec des experts externes, information des autorités judiciaires, mise en place de protections supplémentaires sur le système, et 24 mois de surveillance d'identité via Kroll, avec une date limite d'inscription au 31 octobre 2026. Rien de tout cela n'est la partie intéressante. La partie intéressante, ce sont les 314 jours, et ce dont ils étaient faits.

La vitesse de correction n'a jamais été la variable ici

Le correctif n'existait pas encore. L'intrusion s'inscrit dans la campagne d'exploitation massive visant Oracle E-Business Suite via CVE-2025-61882, attribuée ensuite au groupe d'extorsion Clop. Oracle a publié le correctif le 4 octobre 2025. Remontez au 9 août 2025 et vous obtenez 56 jours. L'attaquant était dans le bâtiment huit semaines avant que l'éditeur ne livre la serrure.

Cela compte à cause de ce que l'on montre à la plupart des conseils. La diapositive sécurité d'un dossier trimestriel est en général un chiffre de conformité: pourcentage de correctifs critiques appliqués dans le délai convenu. C'est un nombre réel, il mesure une discipline réelle. Et il n'a eu strictement aucune incidence sur ce résultat. Une entreprise à 100 pour cent de conformité avec un délai de 14 jours aurait été compromise exactement le même samedi, car ce samedi-là il n'y avait rien à appliquer.

Oui, mais la vulnérabilité était joignable. Oracle a décrit la faille comme permettant à des attaquants non authentifiés disposant d'un accès réseau d'exécuter du code à distance via HTTP, dans les versions 12.2.3 à 12.2.14 d'E-Business Suite. Voilà la décision réellement disponible à l'avance: non pas la vitesse à laquelle vous corrigez, mais la question de savoir si un module de ressources humaines au sein d'un ERP devait répondre à des requêtes HTTP depuis un segment réseau qu'un inconnu non authentifié pouvait atteindre. Personne ne prend cette décision pendant un incident. Elle se prend des années plus tôt, généralement par celui qui voulait que l'intégration fonctionne avant vendredi.

Ce que le module de ressources humaines contenait vraiment

La lettre énumère ce que le tiers a obtenu: noms, adresses postales et électroniques, dates de naissance, numéros de sécurité sociale, numéros de passeport, informations de compte financier sous forme de numéros de compte bancaire, informations de santé et informations liées à l'emploi telles qu'évaluations de performance et données de paie. La lettre note que les données concernées variaient selon chaque personne.

Ce n'est pas la réputation d'un système RH. Demandez à la plupart des dirigeants de nommer les joyaux de la couronne et ils citeront la base clients, le code source, le grand livre. Le module RH figure rarement sur la liste, parce qu'il est mentalement rangé au rayon des outils administratifs. En pratique, c'est le seul endroit, dans presque toute entreprise, où pièces d'identité, coordonnées bancaires et dossiers de santé cohabitent dans un même schéma, indexés par matricule et conservés une décennie parce que le droit du travail l'exige.

L'asymétrie mérite d'être dite sans détour. Un enregistrement client laisse fuir une adresse électronique et un historique d'achats. Cet enregistrement laisse fuir les documents avec lesquels une personne prouve qu'elle existe. On réémet un mot de passe. Réémettre un numéro de passeport demande un État.

Les 314 jours relevaient de la détection, pas de la réponse

Découpez le calendrier en ses trois intervalles réels. Du 9 août 2025 au 19 juin 2026, ce sont 314 jours de perte non détectée. Du 19 juin à la lettre du 17 juillet 2026, ce sont 28 jours d'enquête, de délimitation et de revue juridique. Et avant tout cela se trouve la décision d'architecture qui a placé un module d'ERP joignable devant le réseau.

Deux de ces trois seulement dépendent de vous. Les 28 jours relèvent du processus, et un processus se règle: vous pouvez décider aujourd'hui qui rédige la notification, qui la signe et combien de jours coûte la revue juridique. L'architecture relève du capital et du temps, et c'est là que se trouve le vrai levier. Les 314 jours sont le résidu. Ils sont ce qui arrive quand un système est assez important pour détenir des passeports et assez négligeable pour que personne ne lise ses journaux.

La conclusion. La détection n'est pas un outil que l'on achète, c'est la conséquence de ce que vous avez décidé de surveiller, et la surveillance suit la classification. Estee Lauder n'a pas manqué de réagir. L'entreprise a réagi en quelques jours après avoir su. Le manquement, si le mot s'applique, s'est produit un après-midi tranquille où quelqu'un a classé un module RH en faible criticité et est passé à autre chose. Cette décision est restée réversible pendant dix mois, et gratuite à inverser pendant l'essentiel de cette période.

Trois questions à poser à votre propre ERP cette semaine

D'abord, la question d'inventaire. Recensez tout système détenant des pièces d'identité, des coordonnées bancaires ou des données de santé que votre registre des actifs ne classe pas aujourd'hui comme critique. Dans la plupart des entreprises européennes, la réponse comprend au moins un module RH ou de paie, et souvent un vieil outil de notes de frais. Cette liste est votre véritable registre de joyaux, et elle est en général plus courte qu'on ne le craint et différente de ce que l'on attendait.

Ensuite, la question d'accessibilité. Pour chacun de ces systèmes, qui peut l'atteindre sans s'authentifier, et depuis où. Non pas qui est censé le faire. Qui le peut. Sous le RGPD, l'obligation du responsable de traitement porte sur ces données quel que soit le service interne qui détient le budget, et un délai de notification de 72 heures se moque de savoir que le module était le projet d'un autre.

Enfin, la question de preuve. Si quelqu'un atteignait ce système aujourd'hui, qu'est-ce qui vous le dirait, et en combien de temps. Si la réponse honnête est un avis d'éditeur ou un appel des autorités, alors votre délai de détection pour ce système se mesure dans les mêmes unités que celui d'Estee Lauder, et vous le savez depuis que vous avez fini de lire cette phrase.

À lire ensuite: OpenSSL l'a corrigé en juin, sans aucun CVE  |  Une commissaire a bloqué un campus de 2 gigawatts