Hackers roubam dados de clientes da Lidl em três países europeus

A rede europeia de supermercados Lidl confirmou um vazamento de dados que atingiu clientes de suas lojas online na Alemanha, Bélgica e Países Baixos. O incidente ocorreu após hackers ainda não identificados acessarem informações armazenadas por um prestador externo de serviços de tecnologia.

Segundo a empresa, o ataque não comprometeu diretamente a plataforma de comércio eletrônico da Lidl. A invasão envolveu um banco de dados separado, mantido por um fornecedor terceirizado e utilizado para armazenar informações de consumidores.

Em notificações enviadas na sexta-feira aos clientes afetados nos três países, a Lidl informou que os invasores conseguiram acessar temporariamente um arquivo e extrair parte de seu conteúdo. A companhia não esclareceu por quanto tempo os dados ficaram expostos nem como os hackers obtiveram acesso ao ambiente do prestador.

As informações roubadas incluem forma de tratamento dos clientes, nomes e sobrenomes, números de telefone, endereços de e-mail, datas de nascimento e números de identificação de consumidor.

De acordo com a Lidl, não há indícios de que senhas, endereços de cobrança ou entrega, dados bancários e outras informações de pagamento tenham sido comprometidos. A empresa afirmou ainda que as contas dos clientes permanecem protegidas.

Apesar disso, a combinação dos dados expostos pode ser utilizada em campanhas de phishing direcionado. Ao conhecer nome, telefone, e-mail, data de nascimento e a relação da vítima com a Lidl, criminosos podem produzir mensagens mais convincentes, simulando comunicações sobre pedidos, promoções, reembolsos ou atualizações cadastrais.

Fornecedor adotou medidas de contenção

A Lidl informou ter sido comunicada sobre o incidente no início da semana anterior. Após identificar o acesso indevido, o prestador de serviços teria adotado imediatamente medidas para proteger os sistemas afetados.

A varejista também apresentou uma denúncia criminal e notificou a autoridade de proteção de dados competente. Como o incidente envolve consumidores de diferentes países europeus, a investigação pode exigir cooperação entre reguladores nacionais e aplicação das obrigações previstas no Regulamento Geral de Proteção de Dados da União Europeia, o GDPR.

A empresa não revelou a identidade do fornecedor de TI envolvido, o que impede avaliar quais serviços eram prestados, como o banco de dados estava hospedado e quais controles de segurança estavam implementados no ambiente comprometido.

Também não foi divulgado o número de clientes afetados. A Lidl não atribuiu a invasão a nenhum grupo hacker e não informou se houve uso de ransomware, exploração de vulnerabilidades, credenciais roubadas ou comprometimento de uma conta administrativa.

Risco de phishing e fraude de identidade

Até o momento, a Lidl afirma não ter encontrado evidências de uso indevido das informações roubadas. Mesmo assim, orientou os consumidores afetados a permanecer atentos a e-mails, mensagens de texto e ligações suspeitas.

Os dados expostos podem ser usados para golpes de engenharia social, nos quais criminosos se passam pela empresa ou por parceiros para induzir as vítimas a fornecer senhas, códigos de autenticação, números de cartões ou outras informações confidenciais.

A presença de datas de nascimento e números de cliente também pode ajudar os invasores a contornar perguntas de verificação de identidade utilizadas por serviços de atendimento. Dependendo das informações adicionais obtidas em outros vazamentos, os criminosos podem combinar diferentes bases de dados para construir perfis mais completos das vítimas.

Esse tipo de incidente também demonstra os riscos associados à cadeia de fornecedores. Mesmo quando a infraestrutura principal de uma empresa não é invadida, terceiros com acesso ou responsabilidade sobre dados corporativos podem se tornar um ponto de entrada para ataques.

Por isso, programas de gestão de risco de terceiros precisam incluir requisitos contratuais de segurança, auditorias periódicas, segmentação de ambientes, criptografia, controle de acesso, monitoramento de atividades e procedimentos claros para resposta e comunicação de incidentes.

Uma das maiores redes varejistas da Europa

A Lidl faz parte do Schwarz Group, conglomerado alemão que também controla a rede Kaufland. A companhia opera aproximadamente 12.900 lojas em 32 países e emprega cerca de 395 mil pessoas, sendo uma das maiores redes de varejo da Europa.

A escala da operação amplia o impacto potencial de incidentes envolvendo fornecedores responsáveis pelo processamento de informações de consumidores. Ainda que senhas e dados financeiros não tenham sido comprometidos, a exposição de informações pessoais pode gerar riscos prolongados de fraude, phishing e roubo de identidade.

A investigação deverá determinar como ocorreu a invasão, quantos consumidores foram atingidos e se os dados roubados foram divulgados, comercializados ou compartilhados em fóruns de cibercrime.