Lidl 資料洩露事件 2026 年 7 月：德國、比利時、荷蘭線上顧客資料外洩

2026 年 7 月初，德國連鎖超市 Lidl 對外揭露一起資料外洩事件，影響範圍涵蓋其在 德國、比利時與荷蘭 的線上商店顧客。值得注意的是，這次攻擊的源頭並非 Lidl 自身的系統，而是其委外的 第三方 IT 服務供應商 遭到駭客入侵 。未經授權的攻擊者取得了一個儲存顧客個人資料的檔案，這起事件再度引發歐洲對於外部合作夥伴資安管理的關注。

哪些顧客資料遭到外洩

根據 Lidl 的官方說明，被竊取的資料包括 ：

• 姓名（姓氏與名字）
• 電子郵件地址
• 電話號碼
• 出生日期
• 客戶編號

哪些資料沒有被竊取

Lidl 明確指出，以下高度敏感的資料類別 並未 被存取或竊取 ：

• 密碼 / 登入憑證
• 住家地址或郵寄地址
• 信用卡號碼或銀行帳戶資訊

Lidl 如何應對

事發之後，Lidl 迅速採取以下行動：

• 通知受影響顧客： 2026 年 7 月 10 日，受影響的顧客收到一封主旨為「Wichtige Information zur Sicherheit Deiner Daten bei Lidl」（Lidl 資料安全保障重要通知）的電子郵件 。
• 通報監管機構： Lidl 已通知相關資料保護主管機關，包括荷蘭的 Autoriteit Persoonsgegevens（個人資料管理局）。
• 安全建議： Lidl 提醒顧客務必提高警覺，防範 釣魚攻擊 與潛在的 身分詐騙，因為外洩的姓名、電子郵件、電話號碼與出生日期等資料，常被用於發動精準的社交工程詐騙 。
• 內部調查： Lidl 表示正在深入調查此事件，但目前並未公布遭入侵的第三方服務供應商名稱，也未說明實際受影響的顧客人數 。

更廣泛的趨勢：第三方供應鏈資安風險

這起事件是當前企業面臨 供應鏈／第三方資安風險 的典型範例。Lidl 自身的系統並未直接被攻破，攻擊者鎖定的對象是為 Lidl 處理顧客資料的外部 IT 服務供應商 。類似的情況在 2026 年並不罕見，例如稍早發生的 歐盟委員會雲端服務遭駭事件，同樣被認為是透過第三方供應商做為攻擊跳板 。

隨著企業將越來越多的數位基礎設施與資料處理外包，每一個外部合作夥伴都成為潛在的 攻擊面，攻擊者可以透過這些較不嚴密的環節，入侵規模更大、資安防護更嚴密的目標。這起事件再次強調了以下措施的重要性：供應商風險評估、持續性的安全監控，以及在合約中明訂資料安全義務。此外，在 GDPR（一般資料保護規則）等法規架構下，即使資料外洩發生在第三方，作為主要資料控管者的 Lidl 仍然必須承擔最終責任。