Prekybos tinklas „Lidl“ liepos 10 d. Vokietijos, Belgijos ir Nyderlandų interneto svetainėse paskelbė apie duomenų saugumo incidentą: įsilaužus pas vieną iš bendrovės IT paslaugų teikėjų, buvo pavogta dalis „Lidl Online Shop“ klientų duomenų. „Lidl Lietuva“ portalui „Delfi“ patikino, kad Lietuvos klientų incidentas nepalietė, nes internetinės „Lidl“ parduotuvės Lietuvoje nėra, tačiau kibernetinio saugumo ekspertas Marius Pareščius įspėja: kol neatskleistas nei paveiktas tiekėjas, nei nutekinto failo apimtis, sąžiningas atsakymas esąs ne „mūsų klientai saugūs“, o „mes tiesiog nežinome“.
Pavogti vardai, telefonai ir gimimo datos
Bendrovės teigimu, nežinomi asmenys trumpam įgijo prieigą prie atskirai saugomo failo su klientų duomenimis ir dalį jų pavogė, o pati internetinės parduotuvės sistema nenukentėjo. Nutekinti duomenys apima klientų vardus ir pavardes, telefono numerius, el. pašto adresus, gimimo datas ir klientų numerius.
„Lidl“ tikina, kad slaptažodžiai, mokėjimo bei banko duomenys ir atsiskaitymo ar pristatymo adresai nebuvo paveikti, o klientų paskyros nebuvo pažeistos. Vis dėlto bendrovė neatskleidė nei nukentėjusių klientų skaičiaus, nei paveikto IT paslaugų teikėjo pavadinimo, nei įsilaužimo būdo.
Nukentėję klientai Vokietijoje, Belgijoje ir Nyderlanduose nuo liepos 10 d. informuojami el. laiškais. Dėl incidento kreiptasi į policiją, pasitelkti IT teismo ekspertizės specialistai, o apie pažeidimą pranešta Nyderlandų duomenų apsaugos institucijai. „Nors šiuo metu neturime konkrečių įrodymų apie piktnaudžiavimą duomenimis, atsargumo sumetimais įspėjame jus apie galimus sukčiavimo bandymus ar tapatybės vagystes“, – skelbė prekybos tinklas.
„Lidl Lietuva“ ramina, bet įtartinos SMS suglumino pirkėjus
„Lidl“ klientams Lietuvoje ar pačiai bendrovei „Lidl Lietuva“ šis incidentas neturėjo jokios įtakos, nes Lietuvoje nėra internetinės „Lidl“ parduotuvės. Todėl klientams Lietuvoje nereikia imtis jokių papildomų veiksmų“, – „Delfi“ patikino bendrovės atstovai, pridurdami, kad per incidentą nebuvo paveikta ir „Lidl Plus“ sistema. Viešai Lietuvos klientų apie incidentą „Lidl Lietuva“ neinformavo.
Nerimo vis dėlto kilo: liepos 11–12 d. savaitgalį dalis „Lidl“ klientų Lietuvoje sulaukė įtartinai atrodžiusių SMS žinučių apie nuolaidas, siųstų iš nežinomo telefono numerio su aktyvia nuoroda. Bendrovė patvirtino, kad žinutes siuntė ji pati, o dėl žmogiškosios klaidos vietoj siuntėjo pavadinimo „Lidl Plus“ buvo rodomas konkretus numeris.
„Žinutė buvo išsiųsta „Lidl“, tačiau pripažįstame, kad jos išpildymas turėjo būti geresnis. Todėl atsižvelgdami į šią situaciją, tiksliname savo komunikacijos procesus, kad ateityje mūsų žinutės būtų visiškai aiškios ir nekeltų jokių dvejonių“, – komentare „Delfi“ nurodė atstovai.
Ekspertas klausia, ar Lietuvos klientai tikrai saugūs
M. Pareščius atkreipė dėmesį, kad pirminiuose „Lidl“ pranešimuose bendrovė negalėjo atmesti, jog paveikti ir slaptažodžiai, adresai bei banko duomenys, ir tik vėliau pozicija sugriežtėjo iki „nepaveikta“.
Eksperto vertinimu, „Lidl Plus“ / „My Lidl“ paskyra yra visos grupės paslauga su vieno prisijungimo (SSO) sistema, centralizuotai valdoma Vokietijoje ir veikianti visose rinkose, taip pat ir Lietuvoje, o pavogtų duomenų rinkinys – vardas, telefonas, el. paštas, gimimo data – sutampa su tuo, kurį „Lidl Plus“ renka ir iš Lietuvos klientų. Jis taip pat priminė, kad pagal BDAR duomenų valdytojas atsako už duomenis nepriklausomai nuo to, kas juos tvarko, todėl įsilaužimas pas tiekėją bendrovės atsakomybės nepanaikina: „Tai buvo tiekėjas“ – ne gynyba, o atsakomybės žemėlapio spraga“, – teigė jis.
Lietuvos Valstybinė duomenų apsaugos inspekcija viešo pareiškimo dėl šio incidento kol kas nepaskelbė.
Nutekėjimai tampa žaliava sukčiams
Tokie incidentai kelia personalizuotų sukčiavimo žinučių (phishing), apgaulingų skambučių ir tapatybės klastojimo riziką. Nyderlandų duomenų apsaugos institucija liepos 8 d. paskelbė, kad 2025 m. gavo 39 407 pranešimus apie duomenų saugumo pažeidimus (2024 m. – 37 839), iš jų 2 428 buvo susiję su kibernetinėmis atakomis, o paskyrų perėmimo atvejų skaičius per metus išaugo nuo 607 iki 1 742. Reguliatorius įspėja, kad dirbtinis intelektas leidžia kurti vis įtikinamesnį, asmeniškai pritaikytą phishing'ą.
M. Pareščius įžvelgė ir ironišką detalę: „Lidl“ priklauso „Schwarz Group“ – didžiausiam Europos mažmenininkui, kuris 2021 m. už maždaug 700 mln. JAV dolerių įsigijo Izraelio kibernetinio saugumo bendrovę „XM Cyber“, modeliuojančią atakų kelius, o per „Schwarz Digits“ valdo suverenų debesį STACKIT. Pasak eksperto, grupė, pardavinėjanti gebėjimą surasti silpną grandį tiekimo grandinėje, klientų duomenis prarado būtent per silpną tiekimo grandinės grandį.
