Una lettera del 17 luglio su un sabato di agosto

La lettera è partita dal numero 767 della Fifth Avenue di New York il 17 luglio 2026. Sono quattro pagine, scritte con chiarezza, e comunicano al lettore che il 19 giugno 2026 The Estee Lauder Companies ha accertato attraverso la propria indagine che, il 9 agosto 2025 o intorno a quella data, un terzo non autorizzato ha ottenuto accesso al sistema Oracle E-Business Suite e ha acquisito informazioni personali di determinate persone. Il sistema, dice la lettera, è usato dall'azienda per la gestione delle risorse umane.

Leggete le due date insieme. L'accesso è avvenuto un sabato di agosto 2025. L'azienda ha stabilito che era avvenuto un venerdì di giugno 2026. Tra questi due fatti stanno 314 giorni in cui i dati erano già usciti e nessuno lo sapeva. La lettera non lo elude. Enuncia entrambe le date nella stessa frase, il che è più candore di quanto riesca alla maggior parte delle notifiche.

Estee Lauder ha fatto ciò che fa un soggetto competente una volta informato: ha aperto un'indagine con esperti esterni, ha avvisato le autorità, ha applicato ulteriori tutele al sistema e ha offerto 24 mesi di monitoraggio dell'identità tramite Kroll, con termine di adesione al 31 ottobre 2026. Nulla di ciò è la parte interessante. La parte interessante sono i 314 giorni, e di cosa erano fatti.

La velocità di patching non è mai stata la variabile

La correzione non esisteva ancora. L'intrusione si inserisce nella campagna di sfruttamento di massa contro Oracle E-Business Suite tramite CVE-2025-61882, poi attribuita al gruppo estorsivo Clop. Oracle ha pubblicato la correzione il 4 ottobre 2025. Contate all'indietro fino al 9 agosto 2025 e ottenete 56 giorni. L'attaccante era dentro l'edificio otto settimane prima che il fornitore spedisse la serratura.

Conta per ciò che viene mostrato alla maggior parte dei consigli. La slide sulla sicurezza nel pacchetto trimestrale è di solito un dato di conformità sulle patch: percentuale di patch critiche applicate entro il termine concordato. È un numero vero e misura una disciplina vera. E non ha avuto la minima influenza su questo esito. Un'azienda al 100 per cento di conformità con un termine di 14 giorni sarebbe stata violata esattamente lo stesso sabato, perché quel sabato non c'era nulla da applicare.

Sì, ma la vulnerabilità era raggiungibile. Oracle ha descritto la falla come tale da consentire ad attaccanti non autenticati con accesso di rete di eseguire codice da remoto via HTTP, con impatto sulle versioni di E-Business Suite dalla 12.2.3 alla 12.2.14. Questa è la decisione realmente disponibile in anticipo: non quanto in fretta applicate una patch, ma se un modulo di risorse umane dentro un ERP dovesse rispondere a richieste HTTP da un segmento di rete raggiungibile da uno sconosciuto non autenticato. Nessuno prende quella decisione durante un incidente. Si prende anni prima, di solito da chi voleva che l'integrazione funzionasse entro venerdì.

Cosa conteneva davvero il modulo delle risorse umane

La lettera elenca ciò che il terzo ha ottenuto: nomi, indirizzi postali e di posta elettronica, date di nascita, numeri di previdenza sociale, numeri di passaporto, informazioni su conti finanziari sotto forma di numeri di conto corrente, informazioni sanitarie e informazioni sul rapporto di lavoro come valutazioni delle prestazioni e dati retributivi. La lettera precisa che i dati coinvolti variavano per ciascuna persona.

Non è questa la reputazione di un sistema del personale. Chiedete alla maggior parte dei dirigenti di nominare i gioielli di famiglia e diranno la base clienti, il codice sorgente, il libro mastro. Il modulo delle risorse umane compare di rado, perché mentalmente è archiviato come strumento amministrativo. In pratica è l'unico posto, in quasi ogni azienda, dove documenti d'identità, coordinate bancarie e dati sanitari stanno in un unico schema, indicizzati per matricola e conservati per un decennio perché lo impone il diritto del lavoro.

Vale la pena dire l'asimmetria senza giri di parole. Un record cliente fa uscire un indirizzo e-mail e uno storico d'acquisto. Questo record fa uscire i documenti con cui una persona dimostra di esistere. Una password si riemette. Riemettere un numero di passaporto richiede uno Stato.

I 314 giorni erano un problema di scoperta, non di risposta

Dividete la cronologia nei tre intervalli che contiene davvero. Dal 9 agosto 2025 al 19 giugno 2026 ci sono 314 giorni di perdita non rilevata. Dal 19 giugno alla lettera del 17 luglio 2026 ci sono 28 giorni di indagine, delimitazione e revisione legale. E prima di tutto questo sta la decisione architetturale che ha messo un modulo ERP raggiungibile davanti alla rete.

Solo due dei tre dipendono da voi. I 28 giorni sono processo, e il processo si regola: oggi potete stabilire chi redige la notifica, chi la firma e quanti giorni costa la revisione legale. L'architettura è capitale e tempo, ed è lì che sta la leva vera. I 314 giorni sono il residuo. Sono ciò che accade quando un sistema è abbastanza importante da conservare passaporti e abbastanza irrilevante perché nessuno ne legga i log.

Il punto. La rilevazione non è uno strumento che si compra, è la conseguenza di ciò che avete deciso di monitorare, e il monitoraggio segue la classificazione. Estee Lauder non ha mancato di reagire. Ha reagito entro pochi giorni dal sapere. Il fallimento, ammesso che la parola si applichi, è avvenuto in un pomeriggio tranquillo in cui qualcuno ha classificato un modulo di risorse umane come poco critico ed è andato oltre. Quella decisione è stata reversibile per dieci mesi e gratuita da invertire per quasi tutto quel periodo.

Tre domande da porre al vostro ERP questa settimana

Prima, la domanda d'inventario. Elencate ogni sistema che conserva documenti d'identità, coordinate bancarie o dati sanitari e che il vostro registro degli asset oggi non classifica come critico. Nella maggior parte delle aziende europee la risposta comprende almeno un modulo del personale o delle retribuzioni, e spesso un vecchio strumento per le note spese. Quella lista è il vostro vero registro dei gioielli di famiglia, ed è di solito più corta di quanto si tema e diversa da quanto ci si aspetti.

Seconda, la domanda di raggiungibilità. Per ciascuno di quei sistemi, chi può raggiungerlo senza autenticarsi, e da dove. Non chi dovrebbe. Chi può. In base al GDPR l'obbligo del titolare grava su quei dati a prescindere da quale reparto interno gestisca il budget, e un termine di notifica di 72 ore non si cura del fatto che il modulo fosse il progetto di qualcun altro.

Terza, la domanda di evidenza. Se oggi qualcuno raggiungesse quel sistema, cosa ve lo direbbe, e quanto ci metterebbe a dirvelo. Se la risposta onesta è un avviso del fornitore o una telefonata delle autorità, allora il vostro intervallo di rilevazione per quel sistema si misura nelle stesse unità di quello di Estee Lauder, e lo sapete da quando avete finito di leggere questa frase.

Da leggere ora: OpenSSL l'ha corretto a giugno, senza alcun CVE  |  Una commissaria ha fermato un campus da 2 gigawatt