Lidl a confirmé le 10 juillet une fuite de données touchant des clients de sa boutique en ligne. L’incident ne s’est pas produit chez le distributeur lui-même mais chez l’un de ses prestataires informatiques. Des inconnus y ont eu accès « brièvement » à un fichier clients stocké séparément et en ont volé une partie. Le nombre de personnes concernées n’est pas communiqué.
Quelles données ont fuité
Selon la porte-parole de Lidl Belgique citée par la VRT, les données dérobées sont :
- la civilité, le prénom et le nom ;
- le numéro de téléphone ;
- l’adresse email ;
- la date de naissance ;
- le numéro client.
Lidl affirme en revanche que les mots de passe, les adresses de facturation et de livraison et les données bancaires ou de paiement ne sont pas concernés. Le système de la boutique en ligne n’aurait pas été touché, ni les comptes clients.
Qui est concerné
Les premières communications portent sur les clients des boutiques en ligne belge et néerlandaise. Certains médias évoquent d’autres pays, sans que nous ayons pu le vérifier auprès de Lidl à ce stade. Les clients concernés ont été prévenus par email, et l’autorité de protection des données compétente a été informée. Le prestataire, dont le nom n’a pas été révélé, a porté plainte et fait appel à des experts en investigation numérique.
| Date | Événement |
|---|---|
| Début juillet | Accès non autorisé chez le prestataire informatique |
| 10 juil. | Lidl confirme l’incident, emails envoyés aux clients concernés |
| 11 juil. | Le communiqué est largement relayé par la presse belge et néerlandaise |
Pourquoi c’est un risque de phishing
Lidl dit n’avoir aucune preuve concrète d’utilisation abusive des données. Mais un nom, une adresse email, un numéro de téléphone et une date de naissance suffisent pour monter des arnaques convaincantes : faux remboursement, faux colis bloqué, faux jeu-concours au nom de l’enseigne. La date de naissance sert aussi souvent de question de vérification auprès de services clients.
Lidl rappelle qu’il ne demande jamais vos données bancaires ou votre mot de passe par email ou par téléphone. Tout message de ce type, même s’il cite votre numéro client, est une tentative d’escroquerie.
Que faire si vous êtes client de la boutique en ligne
- Vérifiez l’adresse de l’expéditeur avant de répondre à un email au nom de Lidl, et ne cliquez pas sur les liens : passez par l’application ou le site officiel.
- Soyez vigilant face aux SMS et appels qui citent votre nom et votre date de naissance pour gagner votre confiance.
- Même si les mots de passe ne sont pas concernés selon Lidl, activez la double authentification sur l’adresse email liée à votre compte.
Cet incident rappelle aussi que la sécurité d’une entreprise dépend de celle de ses sous-traitants : ici, le fichier clients se trouvait chez un tiers, en dehors des systèmes de la boutique.