Filtración de datos de la tienda en línea de Lidl de 2026

Los avisos oficiales enumeran seis categorías de datos: tratamientos, nombres y apellidos, números de teléfono, direcciones de correo electrónico, fechas de nacimiento y números de cliente. Estos datos pertenecían a clientes de la tienda en línea. Lidl indicó que se había robado una parte de los datos del archivo, no el archivo completo, pero no explicó qué campos contenía para cada persona ni si todos los destinatarios tenían la misma combinación de datos.

No se publicaron el número de personas afectadas, el tamaño del archivo ni el total de registros robados. Las cifras generales de clientes, empleados o tiendas de Lidl no sirven para cuantificar este incidente. La organización no publicó un total verificable de personas afectadas o registros. Que no se haya divulgado una cifra no significa que el incidente no tuviera consecuencias, sino que las fuentes públicas no proporcionan un total fiable. Mientras no se publique una cifra fiable, los datos generales sobre la dimensión de la empresa no pueden utilizarse para calcular el número de registros afectados por la filtración.

Lidl indicó que, en ese momento, podía descartarse que el incidente hubiera afectado a las contraseñas, las direcciones de facturación, las direcciones de entrega, los datos bancarios y otra información de pago. La empresa también señaló que no se había vulnerado el sistema de la tienda en línea y que las cuentas de los clientes no se habían visto comprometidas. Estas delimitaciones distinguen el acceso a un archivo almacenado por separado en un proveedor de servicios del acceso masivo a cuentas en la propia plataforma de comercio electrónico de Lidl.

La conclusión de que los datos «no se vieron afectados» debe aplicarse únicamente a los campos que la empresa excluyó. Las cifras de personas, los campos de datos y las afirmaciones de actores maliciosos que no se hayan verificado no se consideran parte del alcance del incidente descrito en las fuentes públicas. Sin embargo, una combinación robada de nombres, fechas de nacimiento, números de teléfono y direcciones de correo electrónico puede facilitar ataques de phishing personalizados. Que los datos de pago queden excluidos no elimina todos los riesgos de ingeniería social.

Los avisos de Lidl a sus clientes indican que la empresa fue informada del incidente a principios de la semana, pero no especifican las fechas exactas del acceso inicial, el robo o el descubrimiento. El 13 de julio de 2026, BleepingComputer informó de que los clientes habían sido notificados la semana anterior. LeakData utiliza el 13 de julio como fecha de referencia verificada de la divulgación pública; esto no implica que el atacante accediera por primera vez al archivo del proveedor de servicios ese día.

La empresa no identificó al proveedor de TI afectado, el sistema que alojaba el archivo, el método de ataque ni la duración exacta del acceso no autorizado. El aviso solo confirma que el acceso fue breve y que se robó una parte de los datos de un archivo almacenado por separado. Que el archivo estuviera en manos de un tercero no excluye a Lidl de este registro: la información robada pertenecía a clientes de Lidl y fue Lidl quien emitió las notificaciones.

Según Lidl, el proveedor de servicios de TI respondió de inmediato y tomó las medidas necesarias para restablecer plenamente la seguridad de los sistemas afectados. El proveedor también presentó una denuncia ante la policía y recurrió con prontitud a especialistas en informática forense para investigar. Lidl notificó a las autoridades de protección de datos competentes, y la noticia menciona específicamente la notificación a la Autoridad Neerlandesa de Protección de Datos.

La empresa afirmó que, en el momento del aviso, no tenía pruebas concretas de un uso indebido de los datos. Esa declaración no significa que no se robaran datos: el robo está confirmado y la declaración solo delimita el uso indebido observado. Como medida de precaución, Lidl advirtió a los clientes afectados sobre posibles intentos de phishing y usos indebidos de su identidad, y les recomendó verificar a los remitentes de mensajes inesperados, evitar compartir datos y no hacer clic en enlaces desconocidos.

Los clientes afectados deben tener precaución con los mensajes que se hagan pasar por Lidl, una empresa de paquetería o una empresa de pagos y que utilicen una fecha de nacimiento, un número de cliente o un dato telefónico para parecer creíbles. Las solicitudes de abrir un enlace por un problema con un pedido, un reembolso, un cupón, un cargo de entrega o una verificación de cuenta pueden comprobarse por una vía independiente, a través del sitio oficial de Lidl o de un canal de atención conocido. El uso de datos personales reales no demuestra que un mensaje sea legítimo.

Lidl informó de que las contraseñas no se vieron afectadas, por lo que este incidente no permite afirmar que sea obligatorio restablecerlas. Aun así, como medida de protección general, los clientes pueden sustituir las contraseñas reutilizadas o expuestas anteriormente por otras únicas. Las llamadas y los correos electrónicos sospechosos pueden conservarse y notificarse a través de los canales oficiales de contacto de Lidl en materia de datos. Quienes no hayan recibido un aviso no deben asumir que se han visto afectados solo por haber utilizado la tienda y pueden solicitar una confirmación para su caso concreto.

No se trata de una vulneración de las cuentas de la plataforma de la tienda en línea de Lidl, sino del robo de datos de un archivo de clientes almacenado por separado en un proveedor de servicios de TI. Un valor de cero en el número de personas afectadas significa que no se publicó un total verificado, no que nadie se viera afectado. Las categorías de datos incluyen únicamente los seis campos enumerados en el aviso oficial y no incluyen las contraseñas, las direcciones, los datos bancarios ni la información de pago que se excluyeron expresamente.

La conclusión verificada es que personas no identificadas accedieron brevemente a un archivo separado del proveedor y robaron algunos datos de clientes de la tienda en línea de Lidl; los datos afectados incluían tratamientos, nombres, números de teléfono, direcciones de correo electrónico, fechas de nacimiento y números de cliente; y la tienda, las cuentas, las contraseñas y los datos de pago no se vieron afectados. La cronología exacta, el método de acceso y el número de personas siguen sin divulgarse.