Vụ rò rỉ dữ liệu Lidl tháng 7/2026: Những điều khách hàng trực tuyến tại Đức, Bỉ và Hà Lan cần biết

Đầu tháng 7/2026, Lidl – chuỗi siêu thị giảm giá đến từ Đức – đã xác nhận một vụ rò rỉ dữ liệu ảnh hưởng đến khách hàng mua sắm trực tuyến tại ba quốc gia châu Âu: Đức, Bỉ và Hà Lan. Điều đáng chú ý là vụ việc không bắt nguồn từ hệ thống của Lidl, mà đến từ một nhà cung cấp dịch vụ CNTT bên ngoài mà hãng thuê để vận hành cửa hàng trực tuyến . Tin tặc đã truy cập trái phép vào một tệp chứa dữ liệu cá nhân của khách hàng, làm dấy lên lo ngại trên toàn châu Âu về vấn đề bảo mật từ các đối tác bên thứ ba.

Thông tin khách hàng nào bị lộ?

Dữ liệu bị đánh cắp bao gồm :

• Họ và tên
• Địa chỉ email
• Số điện thoại
• Ngày sinh
• Mã khách hàng / ID khách hàng

Thông tin nào KHÔNG bị xâm phạm?

Lidl khẳng định rõ ràng rằng các loại dữ liệu nhạy cảm sau đây không bị truy cập hoặc đánh cắp :

• Mật khẩu / thông tin đăng nhập
• Địa chỉ nhà hoặc địa chỉ giao hàng
• Chi tiết thẻ thanh toán hoặc thông tin tài khoản ngân hàng

Lidl đã phản ứng ra sao?

Lidl đã thực hiện một số bước ngay sau vụ vi phạm:

• Thông báo cho khách hàng: Khách hàng bị ảnh hưởng đã nhận được email vào ngày 10 tháng 7 năm 2026 với tiêu đề "Wichtige Information zur Sicherheit Deiner Daten bei Lidl" (Thông tin quan trọng về bảo mật dữ liệu của bạn tại Lidl) .
• Thông báo cho cơ quan chức năng: Công ty đã thông báo cho các cơ quan bảo vệ dữ liệu có liên quan, bao gồm Cơ quan Bảo vệ Dữ liệu Hà Lan (Autoriteit Persoonsgegevens) .
• Khuyến cáo bảo mật: Lidl cảnh báo khách hàng cần cảnh giác với các cuộc tấn công lừa đảo (phishing) và nguy cơ gian lận danh tính tiềm ẩn, vì dữ liệu bị lộ – tên, email, số điện thoại và ngày sinh – có thể bị lợi dụng trong các chiêu trò kỹ thuật xã hội có chủ đích .
• Điều tra: Lidl cho biết đang tiến hành điều tra vụ việc, nhưng chưa tiết lộ tên của nhà cung cấp bên thứ ba bị tấn công cũng như tổng số khách hàng bị ảnh hưởng .

Xu hướng lớn hơn: Rủi ro an ninh mạng từ bên thứ ba

Vụ rò rỉ này là một ví dụ điển hình cho vấn đề đang ngày càng phổ biến trong ngành: rủi ro an ninh mạng chuỗi cung ứng / bên thứ ba. Hệ thống của Lidl không bị tấn công trực tiếp – thay vào đó, cuộc tấn công nhắm vào một nhà cung cấp dịch vụ CNTT bên ngoài, nơi xử lý dữ liệu khách hàng thay cho Lidl . Những sự cố tương tự đã từng ảnh hưởng đến nhiều tổ chức lớn khác, chẳng hạn như vụ vi phạm đám mây của Ủy ban châu Âu hồi đầu năm 2026, cũng được cho là xuất phát từ một vectơ tấn công bên thứ ba . Khi các công ty ngày càng thuê ngoài hạ tầng kỹ thuật số, mỗi nhà cung cấp lại trở thành một bề mặt tấn công bổ sung mà tin tặc có thể khai thác để tiếp cận các mục tiêu lớn hơn.

Trường hợp này một lần nữa nhấn mạnh tầm quan trọng của đánh giá rủi ro nhà cung cấp, giám sát liên tục và các nghĩa vụ bảo mật dữ liệu trong hợp đồng – đồng thời cho thấy dưới các khuôn khổ pháp lý như GDPR, bên kiểm soát dữ liệu chính (trong trường hợp này là Lidl) vẫn phải chịu trách nhiệm bất kể vụ vi phạm xảy ra ở đâu.