Lidl confirma vazamento de dados de clientes na Alemanha, Bélgica e Holanda via prestador terceirizado

A rede alemã de supermercados Lidl notificou clientes das lojas online da Alemanha, Bélgica e Holanda sobre um vazamento de dados que atingiu um prestador de serviços de TI terceirizado. A companhia — pertencente ao Schwarz Group, com cerca de 12.900 lojas em 32 países e 395 mil funcionários — afirma que a plataforma de e-commerce não foi comprometida, mas dados pessoais armazenados em uma base separada foram exfiltrados por atacantes ainda não identificados.

O que aconteceu

Segundo as notificações enviadas na sexta-feira aos clientes afetados, invasores obtiveram acesso por um curto período a um arquivo mantido por um fornecedor de TI da Lidl e exfiltraram parte do conteúdo. A empresa foi comunicada do incidente na semana anterior à divulgação e afirma que o prestador tomou medidas imediatas para conter o acesso.

Os dados subtraídos incluem títulos de tratamento, nomes e sobrenomes, números de telefone, endereços de e-mail, datas de nascimento e números de cliente. A Lidl afirma que não há indício de comprometimento de senhas, endereços de cobrança ou entrega, dados bancários ou informações de pagamento, e que as contas dos clientes seguem seguras.

A empresa registrou boletim de ocorrência criminal e notificou a autoridade de proteção de dados competente. Até o momento, não divulgou publicamente o nome do fornecedor de TI comprometido, tampouco o número de clientes afetados ou a atribuição do ataque a um grupo específico. Também não confirmou nem descartou envolvimento de ransomware.

Como o ataque funcionou

O incidente enquadra-se no que a Verizon DBIR classifica como “third-party breach”: o atacante não invadiu a empresa vítima do ponto de vista jurídico e reputacional, mas sim um dos elos da cadeia de fornecimento que processa dados em seu nome. Nos últimos 24 meses, essa categoria saltou de 15% para 30% dos vazamentos documentados no relatório anual, e casos como Snowflake (2024), Change Healthcare (2024) e MOVEit (2023) mostraram como um único fornecedor comprometido reverbera por dezenas ou centenas de organizações.

“Não há indícios de que a informação subtraída tenha sido utilizada indevidamente, mas os clientes afetados devem permanecer atentos a e-mails de phishing e tentativas de fraude direcionada, uma vez que os dados expostos podem ser usados em golpes personalizados.”

Comunicado enviado pela Lidl aos clientes

Nomes, telefones, e-mails e datas de nascimento formam um conjunto suficiente para operações de smishing e vishing altamente direcionadas, além de facilitar processos de recuperação de conta fraudulentos em serviços que aceitam data de nascimento como fator de verificação. A ausência de senhas ou dados de cartão diminui o risco financeiro imediato, mas amplia a superfície para fraudes de engenharia social.

Riscos para os clientes

• Phishing e smishing personalizados usando nome real, cidade inferida e número de cliente Lidl para aumentar credibilidade
• Fraude de suporte técnico e “falso reembolso” com script que menciona o próprio número de cliente
• Tentativas de tomada de conta em serviços que reutilizam e-mail e data de nascimento como fator
• Enriquecimento de bases criminais existentes com dados frescos, elevando valor de revenda em mercados underground
• Uso em fraudes de identidade sintética, especialmente na Alemanha, onde CPF-equivalente (Steuer-ID) pode ser deduzido de outros vazamentos anteriores

Análise

O caso Lidl reforça três tendências observadas no cenário europeu de 2026. Primeira: varejistas de grande porte continuam terceirizando gestão de bases de clientes para reduzir custos de infraestrutura, mas raramente auditam com o mesmo rigor a postura de segurança desses fornecedores. A due diligence contratual do GDPR exige, mas raramente entrega, controles verificáveis.

Segunda: o padrão de comunicação da Lidl segue o playbook conservador europeu — muito conteúdo defensivo, pouco detalhe operacional. A ausência do nome do fornecedor comprometido é problemática. Sem essa informação, outras empresas que possam usar o mesmo prestador não conseguem avaliar sua própria exposição, e reguladores em outros mercados atendidos por esse fornecedor operam no escuro.

Terceira: a ausência de senhas e dados de pagamento tem sido usada como blindagem reputacional, mas subestima o dano real. Em um ecossistema onde dumps de credenciais são reciclados diariamente, o valor marginal de um vazamento está justamente nos identificadores que permitem correlacionar bases e enriquecer perfis. Um nome, telefone e data de nascimento verificados valem, no mercado underground, mais do que uma senha reutilizada de 2019.

Recomendações práticas

• Clientes Lidl DE/BE/NL: habilitar autenticação em duas etapas em serviços vinculados ao mesmo e-mail, especialmente e-mail principal e serviços financeiros
• Suspeitar de qualquer contato “da Lidl” que cite o seu número de cliente — a empresa não solicita dados adicionais por telefone ou WhatsApp
• Para empresas: exigir contratualmente notificação em até 24h de qualquer incidente em prestadores que processem dados pessoais (GDPR Art. 28)
• Manter inventário atualizado de fornecedores com acesso a bases de clientes, incluindo dados sobre a arquitetura de segregação usada por cada um
• Implementar segmentação lógica entre plataforma transacional e bases de perfil de cliente, reduzindo blast radius de acessos comprometidos no fornecedor
• Monitorar mercados underground em busca de dumps recentes contendo o próprio domínio corporativo, com serviços como HaveIBeenPwned, Constella ou SpyCloud

Fonte: The Record