Violation de données de la boutique en ligne Lidl en 2026

Les avis officiels énumèrent six catégories de données : civilités, prénoms et noms, numéros de téléphone, adresses e-mail, dates de naissance et numéros de client. Ces informations appartenaient à des clients de la boutique en ligne. Lidl a indiqué qu'une partie des données du fichier avait été volée, sans affirmer que le fichier entier avait été dérobé. L'entreprise n'a toutefois pas précisé quels champs étaient renseignés pour chaque personne, ni si tous les destinataires étaient concernés par la même combinaison de données.

Le nombre de personnes touchées, la taille du fichier et le nombre total d'enregistrements volés n'ont pas été publiés. Les nombres globaux de clients, de salariés ou de magasins de Lidl ne permettent pas de mesurer l'ampleur de cet incident. L'entreprise n'a publié aucun total vérifiable de personnes ou d'enregistrements concernés. L'absence de chiffre communiqué ne signifie pas que l'incident n'a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable. Tant qu'un chiffre fiable n'est pas publié, les données générales sur la taille de l'entreprise ne peuvent pas être utilisées pour déterminer le nombre d'enregistrements concernés par la violation.

Lidl a indiqué que les mots de passe, les adresses de facturation, les adresses de livraison, les coordonnées bancaires et les autres informations de paiement pouvaient, à ce moment-là, être exclus du périmètre de l'incident. L'entreprise a également déclaré que le système de la boutique en ligne n'avait pas subi d'intrusion et que les comptes clients n'avaient pas été compromis. Ces précisions distinguent l'accès à un fichier stocké séparément chez un prestataire d'un accès massif aux comptes sur la plateforme de commerce en ligne de Lidl elle-même.

Le constat selon lequel certaines données ne sont « pas concernées » doit s'appliquer uniquement aux champs exclus par l'entreprise. Les nombres de personnes, les champs de données et les affirmations d'acteurs malveillants qui n'ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l'incident. Toutefois, la combinaison de noms, de dates de naissance, de numéros de téléphone et d'adresses e-mail volés peut servir à mener des opérations d'hameçonnage personnalisées. L'exclusion des données de paiement n'élimine pas tous les risques d'ingénierie sociale.

Les avis adressés aux clients de Lidl indiquent que l'entreprise a été informée de l'incident en début de semaine, sans préciser les dates exactes du premier accès, du vol ou de la découverte. Dans un article du 13 juillet 2026, BleepingComputer a rapporté que les clients avaient été avertis la semaine précédente. LeakData utilise le 13 juillet comme date de référence vérifiée pour la divulgation publique; cela ne signifie pas que l'attaquant a accédé pour la première fois au fichier du prestataire ce jour-là.

L'entreprise n'a pas identifié le prestataire informatique concerné, le système hébergeant le fichier, la méthode d'attaque ni la durée exacte de l'accès non autorisé. L'avis confirme uniquement que l'accès a été bref et qu'une partie des données d'un fichier stocké séparément a été volée. Le fait que les données se trouvaient chez un tiers ne justifie pas de retirer Lidl de cette fiche : les informations volées appartenaient à des clients de Lidl et c'est Lidl qui a envoyé les notifications.

Selon Lidl, le prestataire informatique a réagi immédiatement et pris les mesures nécessaires pour rétablir pleinement la sécurité des systèmes concernés. Il a également déposé plainte auprès de la police et rapidement fait appel à des spécialistes de l'investigation numérique pour enquêter. Lidl a informé les autorités compétentes en matière de protection des données, et l'article de presse mentionne expressément la notification à l'autorité néerlandaise de protection des données.

L'entreprise a déclaré ne disposer d'aucune preuve concrète d'utilisation abusive des données au moment de l'avis. Cette déclaration ne signifie pas qu'aucune donnée n'a été volée : le vol lui-même est confirmé, et la déclaration porte uniquement sur les utilisations abusives observées. Par précaution, Lidl a averti les clients concernés des risques d'hameçonnage et d'utilisation abusive de leur identité, en leur recommandant de vérifier l'identité des expéditeurs de messages inattendus, d'éviter de communiquer des données et de ne pas cliquer sur des liens inconnus.

Si vous êtes concerné, méfiez-vous des messages qui se font passer pour Lidl, un transporteur de colis ou une société de paiement et qui utilisent une date de naissance, un numéro de client ou une information liée à votre téléphone pour paraître crédibles. Si un message vous demande d'ouvrir un lien au sujet d'un problème de commande, d'un remboursement, d'un bon de réduction, de frais de livraison ou d'une vérification de compte, vous pouvez vérifier cette demande séparément sur le site officiel de Lidl ou auprès d'un service d'assistance connu. L'utilisation de véritables informations personnelles ne prouve pas qu'un message est légitime.

Lidl a indiqué que les mots de passe n'étaient pas concernés; cet incident ne permet donc pas d'affirmer qu'une réinitialisation des mots de passe est obligatoire. Vous pouvez néanmoins remplacer les mots de passe réutilisés ou précédemment exposés par des mots de passe uniques, à titre de mesure générale de protection. Vous pouvez conserver les appels et e-mails suspects et les signaler par les canaux de contact officiels de Lidl consacrés aux questions relatives aux données. Si vous n'avez reçu aucun avis, vous ne devez pas supposer que vous êtes concerné uniquement parce que vous avez utilisé la boutique; vous pouvez demander une confirmation pour votre situation particulière.

Il ne s'agit pas d'une compromission des comptes de la plateforme de vente en ligne de Lidl, mais d'un vol de données dans un fichier clients stocké séparément chez un prestataire informatique. Une valeur de zéro pour le nombre de personnes touchées signifie qu'aucun total vérifié n'a été publié, et non que personne n'a été touché. Les catégories de données comprennent uniquement les six champs énumérés dans l'avis officiel et n'incluent pas les mots de passe, les adresses, les coordonnées bancaires ou les informations de paiement explicitement exclus.

La conclusion vérifiée est que des personnes non identifiées ont brièvement accédé à un fichier distinct chez le prestataire et ont volé une partie des données de clients de la boutique en ligne Lidl. Les données concernées comprenaient les civilités, les noms, les numéros de téléphone, les adresses e-mail, les dates de naissance et les numéros de client; la boutique, les comptes, les mots de passe et les informations de paiement n'ont pas été touchés. La chronologie exacte, la méthode d'accès et le nombre de personnes concernées n'ont pas été communiqués.