Päivittäistavarakauppa Lidlin asiakkaiden tietoja on päätynyt vääriin käsiin tietovuodon seurauksena, kertoo Bleeping Computer.
Tietovuoto koskee Lidlin verkkokaupan asiakkaita Saksassa, Belgiassa ja Alankomaissa.
Vuoto ei Lidlin mukaan tapahtunut verkkokaupan omissa järjestelmissä, vaan yhtiön käyttämän palveluntarjoajan kautta. Hyökkääjät pääsivät käsiksi erilliseen tiedostoon, joka sisälsi verkkokaupan asiakkaiden henkilötietoja.
Varastettuihin tietoihin kuuluivat Lidlin mukaan muun muassa asiakkaan etu- ja sukunimi, puhelinnumero, sähköpostiosoite, syntymäaika ja asiakasnumero. Yhtiö kertoo sulkeneensa pois sen, että hyökkääjät olisivat saaneet haltuunsa asiakkaiden salasanoja, maksutietoja tai laskutus- ja toimitusosoitteita.
– Verkkokaupan järjestelmä itsessään ei ollut tapahtuman kohteena. Asiakkaidemme salasanat, laskutus- ja toimitusosoitteet, pankkitiedot tai muut maksutiedot eivät nimenomaisesti ole vaarantuneet, Lidlin edustaja sanoo Bleeping Computerille.
Lidl ilmoitti tapauksesta asiakkaille sähköpostitse viime viikolla. Lisäksi yhtiö julkaisi erilliset tiedotteet Belgian ja Alankomaiden asiakastukisivuilla. Lidl on ilmoittanut tietovuodosta Alankomaiden tietosuojaviranomaiselle.
Yhtiön mukaan sillä ei ole tällä hetkellä konkreettista näyttöä siitä, että varastettuja tietoja olisi käytetty väärin. Lidl kehottaa silti asiakkaita varomaan mahdollisia tietojenkalasteluyrityksiä ja identiteettivarkauksia.
Vuodetut tiedot voivat auttaa rikollisia tekemään huijausviesteistä uskottavampia, vaikka maksutietoja tai salasanoja ei olisi päätynyt hyökkääjille.
Tietomurrosta ilmoittanut palveluntarjoaja on tehnyt tapauksesta rikosilmoituksen. Sen kerrotaan käyttävän myös tietoteknisiä rikostutkijoita selvittääkseen hyökkäyksen laajuuden ja vaikutukset.
Lidl kuuluu Schwarz Groupiin, jota pidetään Euroopan suurimpana elintarvikekaupan toimijana. Konsernilla on yli 376 000 työntekijää ja noin 12 000 myymälää Euroopassa ja Yhdysvalloissa.
Tietovuodon ei tiettävästi ole kerrottu koskevan Lidlin Suomen alueyhtiötä tai suomalaisia asiakkaita. Julkisuudessa kerrotut ilmoitukset koskevat Saksan, Belgian ja Alankomaiden verkkokauppa-asiakkaita.
Tapaus muistuttaa siitä, että suurten kauppaketjujen tietoturvariski ei rajoitu vain niiden omiin järjestelmiin. Asiakastietoja voi päätyä hyökkääjille myös ulkoisten palveluntarjoajien kautta, vaikka varsinainen verkkokauppa olisi pysynyt toiminnassa eikä asiakastilejä olisi murrettu.