Утечка данных интернет-магазина Lidl в 2026 году

В официальных уведомлениях перечислены шесть категорий данных: формы обращения, имена и фамилии, номера телефонов, адреса электронной почты, даты рождения и номера клиентов. Эти сведения относились к покупателям интернет-магазина. Lidl сообщила о похищении части данных из файла, а не всего файла, но не пояснила, какие поля были заполнены для каждого человека и был ли набор данных одинаковым у всех получателей уведомлений.

Число пострадавших, размер файла и общее число похищенных записей не были опубликованы. Общее количество покупателей, сотрудников или магазинов Lidl не отражает масштаб этого инцидента. Компания не опубликовала поддающееся проверке общее число пострадавших или записей. Отсутствие раскрытого числа не означает, что инцидент не имел последствий: оно означает, что общедоступные источники не позволяют достоверно установить итоговое количество. Пока достоверное число не опубликовано, общие показатели масштаба компании нельзя использовать для расчёта числа записей в утечке.

Lidl сообщила, что на тот момент пароли, платёжные адреса, адреса доставки, банковские реквизиты и прочую платёжную информацию можно было исключить из состава затронутых данных. Компания также заявила, что система интернет-магазина не была взломана, а аккаунты покупателей не были скомпрометированы. Эти уточнения позволяют отличить доступ к отдельно хранившемуся файлу у поставщика услуг от массового доступа к аккаунтам на собственной платформе электронной торговли Lidl.

Вывод о том, что данные «не были затронуты», следует применять только к тем полям, которые компания исключила. Неподтверждённые сведения о числе пострадавших, полях данных и заявлениях злоумышленников не включаются в публичное описание масштаба инцидента. При этом сочетание похищенных имён, дат рождения, номеров телефонов и адресов электронной почты всё же может использоваться для персонализированного фишинга. То, что платёжные данные не были затронуты, не устраняет все риски социальной инженерии.

В уведомлениях Lidl для покупателей говорится, что компания узнала об инциденте в начале недели, но точные даты первоначального доступа, похищения данных и обнаружения инцидента не указаны. BleepingComputer сообщило 13 июля 2026 года, что покупателей уведомили на предыдущей неделе. В LeakData дата 13 июля используется как подтверждённая дата публичного раскрытия информации; это не означает, что злоумышленник впервые получил доступ к файлу поставщика услуг именно в этот день.

Компания не назвала затронутого поставщика IT-услуг, систему, в которой хранился файл, способ атаки или точную продолжительность несанкционированного доступа. Уведомление подтверждает лишь то, что доступ был кратковременным и что часть данных из отдельно хранившегося файла была похищена. Хранение файла у стороннего поставщика не исключает Lidl из этой записи: похищенные сведения относились к покупателям Lidl, и именно Lidl направила уведомления.

По сообщению Lidl, поставщик IT-услуг отреагировал незамедлительно и принял необходимые меры для полного восстановления безопасности затронутых систем. Поставщик также подал заявление в полицию и оперативно привлёк специалистов по компьютерной криминалистике для расследования. Lidl уведомила компетентные органы по защите данных, а в новостной публикации отдельно отмечено уведомление Управления по защите данных Нидерландов.

Компания заявила, что на момент уведомления у неё не было конкретных доказательств неправомерного использования данных. Это не означает, что данные не были похищены: само похищение подтверждено, а заявление касается лишь наблюдавшихся случаев неправомерного использования. В качестве меры предосторожности Lidl предупредила затронутых покупателей о возможном фишинге и злоупотреблениях с использованием их личных данных, рекомендовав проверять отправителей неожиданных сообщений, не сообщать свои данные и не переходить по неизвестным ссылкам.

Затронутым покупателям следует с осторожностью относиться к сообщениям от имени Lidl, службы доставки посылок или платёжной компании, в которых для убедительности используются дата рождения, номер клиента или сведения о телефонном номере. Если вас просят открыть ссылку из-за проблемы с заказом, для возврата денег, получения купона, оплаты доставки или подтверждения аккаунта, такую просьбу можно независимо проверить через официальный сайт Lidl или известный вам канал поддержки. Использование настоящих персональных данных не доказывает подлинность сообщения.

Lidl сообщила, что пароли не были затронуты, поэтому этот инцидент не даёт оснований утверждать, что сброс паролей обязателен. Тем не менее в качестве общей меры защиты покупатели могут заменить повторно используемые или ранее раскрытые пароли на уникальные. Подозрительные письма и сведения о звонках можно сохранить и передать через официальные каналы Lidl для обращений по вопросам данных. Если вы не получили уведомление, не следует считать себя пострадавшим только потому, что вы пользовались магазином; вы можете запросить подтверждение применительно к вашему случаю.

Это не взлом аккаунтов на платформе интернет-магазина Lidl, а похищение данных из отдельно хранившегося клиентского файла у поставщика IT-услуг. Нулевое значение числа пострадавших означает, что подтверждённое общее число не было опубликовано, а не то, что никто не пострадал. Категории данных включают только шесть полей, перечисленных в официальном уведомлении, и не включают явно исключённые пароли, адреса, банковские реквизиты или платёжную информацию.

Подтверждено, что неизвестные лица ненадолго получили доступ к отдельному файлу у поставщика услуг и похитили часть данных покупателей интернет-магазина Lidl. Были затронуты формы обращения, имена, номера телефонов, адреса электронной почты, даты рождения и номера клиентов; при этом магазин, аккаунты, пароли и платёжные реквизиты не были затронуты. Точное время событий, способ получения доступа и число пострадавших остаются нераскрытыми.