Wyciek danych Lidl lipiec 2026: Klienci w Niemczech, Belgii i Holandii zagrożeni

Na początku lipca 2026 roku Lidl ujawnił wyciek danych dotyczący klientów jego sklepu internetowego w Niemczech, Belgii i Holandii. Incydent nie powstał na skutek naruszenia własnych systemów Lidla – atakujący przejęli kontrolę nad zewnętrznym dostawcą usług IT, którego Lidl wykorzystuje do obsługi swojego sklepu online . Nieupoważnione osoby uzyskały dostęp do pliku zawierającego dane osobowe klientów, co wywołało zaniepokojenie w całej Europie w kwestii bezpieczeństwa relacji z zewnętrznymi dostawcami (tzw. third-party risk).

Jakie dane klientów zostały ujawnione

Skradzione dane obejmują :

• Imiona i nazwiska
• Adresy e-mail
• Numery telefonów
• Daty urodzenia
• Numery klientów / identyfikatory klienta

Czego NIE skradziono

Lidl wyraźnie potwierdził, że poniższe wrażliwe kategorie danych nie zostały naruszone ani skradzione :

• Hasła / dane logowania
• Adresy domowe lub pocztowe
• Dane kart płatniczych lub informacje o koncie bankowym

Jak zareagował Lidl

Lidl podjął kilka kroków w dniach po wycieku:

• Powiadomienia klientów: Poszkodowani klienci otrzymali e-mail 10 lipca 2026 roku z tematem „Wichtige Information zur Sicherheit Deiner Daten bei Lidl” (Ważna informacja o bezpieczeństwie Twoich danych w Lidlu) .
• Zgłoszenie do organów: Firma poinformowała właściwe organy ochrony danych, w tym holenderski Urząd Ochrony Danych Osobowych (Autoriteit Persoonsgegevens) .
• Zalecenia bezpieczeństwa: Lidl ostrzegł klientów przed atakami phishingowymi i potencjalnym oszustwem tożsamości, ponieważ ujawnione dane – imiona, e-maile, numery telefonów i daty urodzenia – mogą zostać wykorzystane w celowanych atakach socjotechnicznych .
• Śledztwo: Lidl poinformował, że prowadzi dochodzenie w sprawie incydentu, nie ujawnił jednak nazwy zaatakowanego zewnętrznego dostawcy ani łącznej liczby poszkodowanych klientów .

Szerszy trend: ryzyko cyberbezpieczeństwa w łańcuchu dostaw

Ten wyciek to klasyczny przykład narastającego problemu w branży: ryzyka cybernetycznego w łańcuchu dostaw / u zewnętrznych dostawców (third-party risk). Własne systemy Lidla nie zostały bezpośrednio naruszone – atak udał się na zewnętrznego dostawcę usług IT, który przetwarzał dane klientów w imieniu Lidla . Podobne incydenty dotknęły wiele innych dużych organizacji, takich jak Komisja Europejska, której chmura została naruszona na początku 2026 roku właśnie przez wektor zewnętrznego dostawcy . W miarę jak firmy outsourcingują coraz więcej infrastruktury cyfrowej, każdy dostawca staje się dodatkową powierzchnią ataku, którą hakerzy mogą wykorzystać, by dotrzeć do większych celów.

Ta sprawa podkreśla, jak kluczowe są ocena ryzyka związanego z dostawcami, ciągłe monitorowanie oraz umowne zobowiązania dotyczące bezpieczeństwa danych – a także to, że regulatorzy w ramach przepisów takich jak RODO pociągają do odpowiedzialności głównego administratora danych (w tym przypadku Lidl) bez względu na to, gdzie faktycznie doszło do naruszenia.