Утечка данных в клиентской сети Loblaw в 2026 году

Loblaw начала расследование после обнаружения подозрительной активности в своей сети и установила, что сторонний злоумышленник получил доступ к данным клиентов. В уведомлении компании говорится не просто о возможном доступе: в нём прямо указано, что доступ к основным данным клиентов действительно был получен. Поэтому событие считается подтверждённым нарушением безопасности персональных данных, а не только попыткой атаки или уязвимостью.

BleepingComputer независимо сообщило о заявлении компании и сопоставило затронутые категории данных с системами и данными, которые были прямо исключены из числа пострадавших. На момент публикации ни один злоумышленник не заявил о своей причастности к инциденту, а на теневых форумах не обнаружили объявлений, в которых предлагались бы данные Loblaw. Непроверенные сведения о числе пострадавших и затронутых категориях данных, а также неподтверждённые заявления злоумышленников не включаются в публично описываемый масштаб инцидента.

Loblaw подтвердила, что были затронуты имена, номера телефонов и адреса электронной почты. Даже без паролей эти сведения могут сделать более убедительными фишинговые сообщения, отправляемые от имени магазина, программы лояльности или службы поддержки. Категории данных в этой записи ограничены основными контактными сведениями, названными компанией.

В уведомлении не утверждалось, что у каждого клиента были затронуты все три категории данных или что пострадали все аккаунты во всех брендах Loblaw. Формулировка «некоторые основные данные клиентов» допускает различия между отдельными записями.

Loblaw заявила, что на том этапе расследования не обнаружила признаков компрометации финансовых сведений, например данных кредитных карт, информации о здоровье или паролей аккаунтов. Её бренд финансовых услуг PC Financial также не пострадал. Эти ограничения не позволяют необоснованно расширять масштаб инцидента на всю крупную розничную группу, в которую входят аптечные и финансовые услуги.

Формулировка «признаков не обнаружено» отражает вывод расследования на ту дату и может быть пересмотрена при появлении новых результатов. Рекомендация сменить пароль, это мера предосторожности для безопасности аккаунтов, а не подтверждение кражи паролей.

В уведомлении Loblaw не указаны ни число клиентов, ни общее количество записей, ни распределение по брендам. Масштаб сети магазинов компании в Канаде, численность её персонала и общее число участников таких программ, как PC Optimum, не позволяют определить количество людей, к чьим данным был получен доступ. Организация не опубликовала проверяемых сведений об общем числе пострадавших или записей. Отсутствие раскрытых данных о численности не означает, что инцидент не имел последствий; это означает, что общедоступные источники не дают надёжной итоговой оценки.

Список затронутых брендов и общее число пострадавших можно будет добавить, если их опубликует Loblaw, канадский орган по защите персональных данных или они появятся по итогам заслуживающего доверия завершённого расследования. Также не следует считать, что число записей равно числу людей: один клиент может фигурировать в данных нескольких брендов или в нескольких контактных полях.

Loblaw сообщила, что ограничила инцидент некритичным сегментом сети и в качестве меры предосторожности автоматически завершила сеансы всех клиентов в их аккаунтах. Пользователям пришлось заново войти в цифровые сервисы. Хотя компания не обнаружила признаков компрометации финансовых данных, сведений о здоровье или паролей, она рекомендовала клиентам внимательно относиться к подозрительным сообщениям.

Клиентам следует открывать официальное приложение или переходить по известному веб-адресу, а не нажимать на ссылки в неожиданных электронных письмах или текстовых сообщениях, отправители которых выдают себя за представителей Loblaw, Loblaws, PC Optimum или другого бренда группы. Пароль, используемый в нескольких сервисах, следует заменить уникальным, а многофакторную аутентификацию, включить везде, где соответствующий сервис её предлагает.

Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам. Запись описывает фактический несанкционированный доступ в ограниченном сегменте сети; в ней не утверждается, что была скомпрометирована вся инфраструктура Loblaw, все её магазины или связанные с ней бренды.

Подтверждённый масштаб инцидента ограничивается именами, номерами телефонов и адресами электронной почты некоторых клиентов. Финансовые сведения, данные о здоровье, пароли и системы PC Financial не входят в подтверждённый на данный момент масштаб инцидента, а общее число пострадавших остаётся неизвестным. LeakData приводит использованную компанией характеристику «низкого уровня», не преуменьшая при этом риск фишинга, связанный с раскрытием контактных данных. Подозрительное сообщение или событие в аккаунте следует проверить через актуальный официальный канал связи организации, не используя ссылки из сообщения.