Le hard-discount a beau serrer les prix, il n’a pas serré la sécurité de son sous-traitant. Lidl a prévenu des clients en Allemagne, en Belgique et aux Pays-Bas après un incident survenu chez l’un de ses prestataires informatiques. Des attaquants ont brièvement accédé à un fichier contenant des données clients du webshop, avant d’en extraire une partie.
L’enseigne insiste : le système de sa boutique en ligne n’est pas en cause. Selon Lidl, ni les mots de passe, ni les données bancaires, ni les adresses de facturation et de livraison, ni les comptes clients n’ont été compromis. En revanche, l’entreprise n’avance aucun chiffre sur le nombre de personnes concernées.
Points clés
- Un prestataire informatique de Lidl a été piraté, exposant des données clients du webshop en Allemagne, Belgique et Pays-Bas
- Données volées : civilité, nom, téléphone, e-mail, date de naissance et numéro client ; mots de passe et données bancaires épargnés
- Lidl ne signale aucun usage frauduleux confirmé mais alerte sur les risques de phishing ; aucun chiffre de victimes communiqué
Identité et contacts sur le carreau
Les informations dérobées comprennent la civilité, le prénom et le nom, le numéro de téléphone, l’adresse e-mail, la date de naissance et le numéro client. De quoi constituer un joli kit de départ pour qui aime bricoler des campagnes de phishing. Lidl a envoyé des notifications aux clients potentiellement touchés dans les trois pays.
Le point sensible du dossier tient au chemin emprunté. Les attaquants ne sont pas passés par la boutique en ligne mais par un prestataire tiers qui hébergeait ou gérait une partie des données. Dans les messages relayés par plusieurs médias locaux, Lidl indique que ce prestataire a pris des mesures pour rétablir la sécurité des systèmes et déposé plainte. Son identité, elle, reste confidentielle.
Aucun abus confirmé, mais la prudence est de mise
Lidl affirme n’avoir aucun élément établissant un usage frauduleux des données. L’enseigne met tout de même en garde contre d’éventuelles tentatives de phishing, risque classique après une fuite d’adresses e-mail et de numéros de téléphone.
Les autorités de protection des données ont été informées. À ce stade, aucun montant d’amende, aucun calendrier de correction et aucun volume exact de comptes touchés n’ont été communiqués. La chaîne de sous-traitance, maillon faible récurrent des grandes fuites, s’ajoute une nouvelle fois au tableau de chasse des attaquants.
