Oracle investiga campanha de extorsão dirigida a clientes

A Oracle confirmou que alguns dos seus clientes receberam emails de extorsão, numa campanha que poderá estar relacionada com a exploração de vulnerabilidades conhecidas no seu produto de planeamento de recursos empresariais (ERP) E-Business Suite (EBS). A investigação em curso conta com a colaboração do Google Threat Intelligence Group (GTIG) e da Mandiant, que identificaram comunicações dirigidas a executivos de várias organizações utilizadoras da solução.

De acordo com as equipas de investigação, os emails de extorsão terão sido enviados por membros do grupo de cibercrime Cl0p, usando contas anteriormente comprometidas associadas ao grupo FIN11, ambos conhecidos por campanhas que exploram falhas em software empresarial para roubo de dados e extorsão.

“A nossa investigação em curso encontrou o potencial uso de vulnerabilidades previamente identificadas que foram abordadas na Patch Critical Update de julho de 2025”, afirmou Rob Duhart, diretor de segurança da Oracle, num post publicado no blog oficial da empresa.

A atualização de julho da Oracle corrigiu cerca de 200 vulnerabilidades, incluindo nove falhas críticas no E-Business Suite. Três delas — CVE-2025-30746, CVE-2025-30745 e CVE-2025-50107 — permitem exploração remota sem autenticação e foram classificadas como de gravidade média, exigindo interação do utilizador. Outras três vulnerabilidades — CVE-2025-30743, CVE-2025-30744 e CVE-2025-50105 — receberam classificação de alta gravidade, podendo ser exploradas sem interação do utilizador, embora não remotamente.

Se o envolvimento dos grupos Cl0p e FIN11 for confirmado, este incidente seguirá um padrão já conhecido: ambos são responsáveis por ataques que exploraram falhas zero-day em plataformas amplamente utilizadas, como MOVEit, Fortra e Accellion, resultando em roubos massivos de dados corporativos.

No início deste ano, a Oracle já tinha confirmado um incidente em que cibercriminosos conseguiram aceder a dados de um ambiente de cloud legacy, reforçando a preocupação com a segurança de sistemas empresariais de larga escala.