Lidl ha notificado a clientes afectados una brecha de seguridad sufrida por un proveedor externo, en la que atacantes lograron acceder a información personal asociada a usuarios de su tienda online. La compañía ha aclarado que el incidente no afectó directamente al sistema de comercio electrónico ni comprometió cuentas de usuario, contraseñas, direcciones o datos bancarios.
La cadena de supermercados, propiedad del grupo Schwarz, detectó el incidente la semana pasada y comenzó a informar a las personas afectadas por correo electrónico. Según la comunicación remitida por la empresa, individuos no autorizados accedieron durante un breve periodo de tiempo a un archivo separado que contenía datos de clientes y sustrajeron parte de esa información.
Lidl ha insistido en que sus sistemas principales no fueron comprometidos y que la tienda online continuó protegida. No obstante, la información robada incluye datos personales suficientes como para incrementar el riesgo de intentos de phishing o suplantación de identidad.
Qué información fue sustraída
Los datos afectados pertenecen a clientes que habían utilizado la tienda online de Lidl. La información robada incluye tratamiento o saludo, nombre y apellidos, número de teléfono, dirección de correo electrónico, fecha de nacimiento y número de cliente.
La compañía asegura que los atacantes no accedieron a contraseñas, datos de pago, información bancaria ni direcciones de facturación o envío. También ha descartado que las cuentas de los clientes se hayan visto comprometidas como consecuencia del incidente.
Esta aclaración reduce el riesgo de accesos directos a perfiles de usuario o compras no autorizadas, pero no elimina las posibles consecuencias para las personas afectadas. Datos como el nombre, el correo electrónico, el teléfono, la fecha de nacimiento o el número de cliente pueden utilizarse para crear mensajes fraudulentos más creíbles.
Los ciberdelincuentes pueden aprovechar esta información para enviar correos electrónicos, SMS o llamadas que aparenten proceder de Lidl, de empresas de reparto o de servicios de atención al cliente. Al incluir datos reales de la víctima, el engaño puede resultar más convincente que una campaña de phishing genérica.
Lidl advierte del riesgo de phishing
La empresa ha recomendado a los clientes afectados que estén atentos ante posibles intentos de fraude. Aunque Lidl afirma que no dispone por ahora de pruebas concretas de uso indebido de los datos robados, ha emitido una advertencia preventiva ante el riesgo de phishing o abuso de identidad.
Este tipo de aviso es habitual después de una brecha de datos. Una vez que la información personal sale del entorno controlado por la empresa, puede ser utilizada por otros actores, vendida en foros clandestinos o combinada con datos procedentes de filtraciones anteriores.
En este caso, el principal riesgo no parece estar en el acceso a la cuenta de la tienda online, sino en la utilización de los datos para engañar a los usuarios. Un atacante podría enviar un mensaje sobre un supuesto pedido pendiente, una devolución, un reembolso, un cupón promocional o una incidencia de cuenta para inducir a la víctima a hacer clic en un enlace malicioso.
También podría solicitar información adicional, como datos de pago, códigos de verificación o credenciales, utilizando como gancho la propia brecha de seguridad.
El proveedor afectado ha presentado denuncia
El incidente se produjo en un proveedor de servicios externo que almacenaba un archivo independiente con información de clientes. Según Lidl, el sistema de la tienda online no se vio afectado y los datos más sensibles, como contraseñas y medios de pago, quedaron fuera del alcance de los atacantes.
El proveedor afectado ha presentado una denuncia ante la policía y ha contratado expertos forenses para investigar el alcance completo del incidente. El análisis deberá determinar cómo se produjo el acceso no autorizado, durante cuánto tiempo estuvo disponible el archivo y si los datos sustraídos fueron transferidos o utilizados posteriormente.
Lidl también ha comunicado la brecha a la autoridad competente de protección de datos y mantiene abiertas las medidas de revisión y seguimiento.
El caso vuelve a mostrar la importancia de la seguridad en la cadena de suministro digital. Aunque una empresa mantenga protegidos sus sistemas principales, los datos pueden quedar expuestos si un proveedor externo sufre una intrusión o conserva información de clientes en entornos separados con controles insuficientes.
