Společnost Lidl minulý pátek oznámila únik zákaznických dat, ke kterému mělo dojít prostřednictvím
kybernetického útoku na jednoho z jejich externích poskytovatelů IT služeb. Incident by se dle
dostupných informací měl týkat především zákazníků v Německu, Belgii a Nizozemsku, o útoku byly
varováni však i zákazníci z České republiky. Společnost se zatím nevyjádřila, který konkrétní IT dodavatel
byl zasažen a kolika zákazníků se únik dat týkal, dle svého vyjádření však informoval všechny zasažené
subjekty údajů.
Útočníkům se podařilo na krátkou dobu získat přístup k odděleně uloženému souboru se zákaznickými
daty a část dat odcizit, samotný systém e-shopu však napaden nebyl. Odcizena byla data jako jména a
příjmení, telefonní čísla, emailové adresy, data narození a zákaznická čísla, u určitých zákazníků i údaje
k objednávkám z období leden až červen 2026.
Nebyla však odcizena hesla k zákaznickým účtům, bankovní údaje, platební informace, fakturační a
doručovací adresy či samotné zákaznické účty. Útočníci tedy nemají přímý přístup k účtům zákazníků a
nemohou zneužít jejich platební informace. Panují ovšem obavy ze zneužití údajů k podvodům
prostřednictvím tzv. phishingových emailů, SMS zpráv nebo telefonátů, které by díky získaným
informacím mohly působit jako věrohodná komunikace od společnosti Lidl. Dle společnosti však ke
konkrétním incidentům zatím nedošlo.
Podle vyjádření společnosti externí poskytovatel IT služeb okamžitě reagoval a přijal nezbytná
bezpečnostní opatření k obnovení plné bezpečnosti dotčených IT systémů, podal na neznámé útočníky
trestní oznámení a zapojil specialisty na kybernetickou bezpečnost. Případ byl také nahlášen příslušným
úřadům, včetně českého Úřadu pro ochranu osobních údajů.
Správci by měli pečlivě vybírat své zpracovatele, pokud citlivou oblast jako je IT zabezpečení outsourcují
externímu dodavateli. Jedná se totiž o jeden z mnoha případů napříč Evropou, kdy společnost s jinak
dobře zajištěnou vnitřní bezpečností předá zpracování dat menšímu zpracovateli a tento zpracovatel se
poté stane vstupní bránou pro útok na bezpečnost dat. Na základě GDPR je za osobní údaje subjektů
údajů odpovědný vždy primární správce, ne zpracovatel, proto je důležité vybrat takového zpracovatele,
který je schopen bezpečnost údajů řádně zajistit.