خرق بيانات متجر Lidl الإلكتروني لعام 2026

تسرد الإشعارات الرسمية ست فئات من البيانات: صيغ المخاطبة، والأسماء الأولى وأسماء العائلة، وأرقام الهواتف، وعناوين البريد الإلكتروني، وتواريخ الميلاد، وأرقام العملاء. وكانت هذه المعلومات تخص عملاء المتجر الإلكتروني. وقالت Lidl إن جزءًا من البيانات الموجودة في الملف سُرق، ولم تقل إن الملف بأكمله سُرق، لكنها لم توضح الحقول التي كانت متوفرة لكل شخص، ولا ما إذا كانت مجموعة الحقول نفسها تخص كل من تلقّى إشعارًا.

لم يُنشر عدد الأشخاص المتأثرين، أو حجم الملف، أو إجمالي السجلات المسروقة. ولا تصلح الأعداد الإجمالية لعملاء Lidl أو موظفيها أو متاجرها مقياسًا لهذه الحادثة. ولم تنشر المؤسسة إجماليًا قابلًا للتحقق لعدد الأشخاص أو السجلات المتأثرة. وعدم الإفصاح عن العدد لا يعني أن الحادثة لم يكن لها أثر، بل يعني أن المصادر العامة لا تقدم إجماليًا موثوقًا. وما لم يُعلن عن عدد موثوق، فلا يمكن تحويل الأرقام العامة التي تصف حجم الشركة إلى عدد سجلات خرق البيانات.

قالت Lidl إنه كان بالإمكان آنذاك استبعاد كلمات المرور، وعناوين الفوترة، وعناوين التسليم، والبيانات المصرفية، ومعلومات الدفع الأخرى من نطاق الحادثة. وقالت الشركة أيضًا إن نظام المتجر الإلكتروني لم يتعرض للاختراق، وإن حسابات العملاء لم تُخترق. وتوضح هذه الحدود الفرق بين الوصول إلى ملف مخزّن بصورة منفصلة لدى مزوّد خدمات، والوصول إلى أعداد كبيرة من الحسابات على منصة Lidl المباشرة للتجارة الإلكترونية.

ينبغي قصر وصف «لم تتأثر» على الحقول التي استبعدتها الشركة. ولا تُعد أعداد الأشخاص أو حقول البيانات غير المتحقق منها، ولا الادعاءات الصادرة عن جهات التهديد، جزءًا من النطاق المعلن للحادثة. ومع ذلك، فإن سرقة مجموعة تجمع الأسماء وتواريخ الميلاد وأرقام الهواتف وعناوين البريد الإلكتروني قد تتيح تنفيذ تصيّد احتيالي مخصّص للأفراد. فاستبعاد بيانات الدفع لا يلغي جميع مخاطر الهندسة الاجتماعية.

تقول إشعارات Lidl الموجّهة إلى العملاء إن الشركة أُبلغت بالحادثة في بداية الأسبوع، لكنها لا تذكر التواريخ الدقيقة للوصول الأولي أو السرقة أو اكتشاف الحادثة. وأفاد BleepingComputer في 13 يوليو 2026 بأن العملاء أُخطروا في الأسبوع السابق. ويُستخدم 13 يوليو في LeakData كتاريخ مرجعي متحقق منه للإفصاح العلني؛ ولا يعني ذلك أن المهاجم وصل إلى ملف مزوّد الخدمات لأول مرة في ذلك اليوم.

لم تكشف الشركة عن هوية مزوّد خدمات تقنية المعلومات المتأثر، أو النظام الذي يستضيف الملف، أو طريقة الهجوم، أو المدة الدقيقة للوصول غير المصرّح به. ولا يؤكد الإشعار سوى أن الوصول كان وجيزًا، وأن جزءًا من البيانات في ملف مخزّن بصورة منفصلة سُرق. ووجود الملف لدى طرف ثالث لا يستبعد Lidl من هذا السجل: فالمعلومات المسروقة تخص عملاء Lidl، وهي التي أصدرت الإشعارات.

بحسب Lidl، استجاب مزوّد خدمات تقنية المعلومات فورًا واتخذ الخطوات اللازمة لاستعادة الأمان الكامل للأنظمة المتأثرة. كما قدّم المزوّد بلاغًا إلى الشرطة، واستعان سريعًا بمتخصصين في الأدلة الجنائية الرقمية للتحقيق. وأخطرت Lidl سلطات حماية البيانات المختصة، ويشير التقرير الإخباري تحديدًا إلى إخطار هيئة حماية البيانات الهولندية.

قالت الشركة إنها لم تكن تملك أدلة ملموسة على إساءة استخدام البيانات وقت إصدار الإشعار. ولا يعني هذا التصريح أن بيانات لم تُسرق؛ فالسرقة نفسها مؤكدة، والتصريح لا يحدد سوى حدود ما رُصد من إساءة الاستخدام. وحذرت Lidl العملاء المتأثرين، على سبيل الاحتياط، من احتمال التعرض للتصيّد الاحتيالي وإساءة استخدام الهوية، وأوصتهم بالتحقق من هوية مرسلي الرسائل غير المتوقعة، وتجنب مشاركة البيانات، وعدم النقر على الروابط المجهولة.

ينبغي للعملاء المتأثرين الحذر من الرسائل التي تنتحل صفة Lidl أو شركة لنقل الطرود أو شركة مدفوعات، وتستخدم تاريخ الميلاد أو رقم العميل أو معلومة تتعلق بالهاتف لإضفاء المصداقية عليها. ويمكن التحقق بصورة مستقلة، عبر موقع Lidl الرسمي أو قناة دعم معروفة، من الطلبات التي تدعو إلى فتح رابط لحل مشكلة في طلب شراء، أو استرداد مبلغ، أو الحصول على قسيمة، أو دفع رسوم تسليم، أو التحقق من الحساب. فاستخدام بيانات شخصية حقيقية لا يثبت أن الرسالة مشروعة.

أفادت Lidl بأن كلمات المرور لم تتأثر، لذا لا تسند هذه الحادثة القول بأن إعادة تعيين كلمات المرور أمر إلزامي. ومع ذلك، يمكن للعملاء استبدال كلمات المرور المعاد استخدامها أو التي سبق انكشافها بكلمات مرور فريدة، كإجراء عام للحماية. ويمكن الاحتفاظ بالمكالمات ورسائل البريد الإلكتروني المشبوهة والإبلاغ عنها عبر قنوات Lidl الرسمية المخصصة للتواصل بشأن البيانات. ولا ينبغي لمن لم يتلقوا إشعارًا افتراض تأثرهم لمجرد أنهم استخدموا المتجر، ويمكنهم طلب تأكيد يخص حالتهم.

هذه ليست حادثة اختراق لحسابات منصة متجر Lidl الإلكتروني، بل سرقة بيانات من ملف عملاء مخزّن بصورة منفصلة لدى مزوّد لخدمات تقنية المعلومات. وإذا كانت قيمة عدد الأشخاص المتأثرين صفرًا، فهذا يعني أن إجماليًا متحققًا منه لم يُنشر، وليس أن أحدًا لم يتأثر. ولا تشمل فئات البيانات سوى الحقول الستة الواردة في الإشعار الرسمي، ولا تتضمن كلمات المرور أو العناوين أو البيانات المصرفية أو معلومات الدفع التي استُبعدت صراحةً.

الخلاصة المتحقق منها هي أن أشخاصًا مجهولين وصلوا لفترة وجيزة إلى ملف منفصل لدى مزوّد الخدمات، وسرقوا بعض بيانات عملاء متجر Lidl الإلكتروني؛ وشملت البيانات صيغ المخاطبة، والأسماء، وأرقام الهواتف، وعناوين البريد الإلكتروني، وتواريخ الميلاد، وأرقام العملاء؛ ولم يتأثر المتجر أو الحسابات أو كلمات المرور أو تفاصيل الدفع. ولم يُفصح عن التوقيت الدقيق أو طريقة الوصول أو عدد الأشخاص المتأثرين.