Lidl Datenleck betrifft Kunden in drei Ländern

Was ist passiert

Der internationale Einzelhandelsriese Lidl hat ein Datenleck bestätigt, das Kunden seines Online-Shops in Deutschland, Belgien und den Niederlanden betrifft. In einer Erklärung von letzter Woche stellte das Unternehmen klar, dass der Cyberangriff nicht direkt auf seine eigenen Systeme abzielte, sondern auf einen externen IT-Dienstleister, den es nutzt. Der Vorfall wurde Berichten zufolge Anfang letzter Woche entdeckt, und der Prozess zur Information der betroffenen Kunden wurde umgehend eingeleitet.

Lidl, Teil der Schwarz-Gruppe, veröffentlichte detaillierte Benachrichtigungen zu dem Vorfall auf seinen Kundenservice-Websites in Belgien und den Niederlanden. In diesen Mitteilungen hieß es, dass Angreifer trotz der hohen IT-Sicherheitsstandards des Unternehmens kurzzeitig auf eine separat gespeicherte Datei mit Kundendaten zugreifen und einen Teil davon stehlen konnten. Das Unternehmen betonte, dass dieser Vorfall den allgemeinen Betrieb oder die Sicherheit des Online-Shop-Systems nicht beeinträchtigt habe, und hob hervor, dass es sich um ein isoliertes Ereignis handele. Solche Datenschutzverletzungen bei Drittanbietern stellen ein wachsendes Risiko für Unternehmen im heutigen komplexen digitalen Ökosystem dar. Unabhängig davon, wie stark die eigenen Sicherheitsmaßnahmen eines Unternehmens sind, kann ein schwaches Glied in der Sicherheitskette seiner Partner und Lieferanten das gesamte System gefährden. Dieses Ereignis ist ein weiterer Indikator dafür, wie kritisch die Sicherheit der Lieferkette geworden ist.

Kompromittierte Daten

Laut offiziellen Angaben von Lidl umfassen die von den Cyberangreifern kompromittierten Daten sehr sensible persönliche Informationen. Folgende Daten betroffener Kunden wurden offengelegt:

• Anrede (Herr/Frau)
• Vor- und Nachname
• Telefonnummer
• E-Mail-Adresse
• Geburtsdatum
• Kundennummer

Die Kombination dieses Datensatzes stellt eine wertvolle Ressource für Cyberkriminelle dar. Informationen wie Name, Nachname, E-Mail und Telefonnummer können für gezielte Phishing-Angriffe verwendet werden. Das Geburtsdatum kann eine Schlüsselrolle bei Identitätsdiebstahl und Social-Engineering-Versuchen spielen. Angreifer können diese Informationen nutzen, um sich als Kunden auszugeben, betrügerische Konten in deren Namen zu eröffnen oder komplexere Betrugsszenarien zu inszenieren.

Lidl gab jedoch eine entscheidende Zusicherung bezüglich des Umfangs der Verletzung. Das Unternehmen erklärte unmissverständlich, dass seine Untersuchungen bestätigt haben, dass die folgenden kritischen Daten von dem Leck nicht betroffen waren:

• Passwörter
• Rechnungs- und Lieferadressen
• Zahlungsinformationen wie Bankverbindungen oder Kreditkartennummern

Dies bedeutet, dass die Kundenkonten nicht direkt kompromittiert wurden und kein unmittelbares Risiko eines finanziellen Verlusts besteht. Die Sicherheit der Kundenkonten und die Tatsache, dass keine Zahlungsinformationen durchgesickert sind, begrenzen den potenziellen Schaden des Vorfalls erheblich. Dennoch bleibt das Risiko, dass die gestohlenen personenbezogenen Daten in Zukunft für betrügerische Zwecke verwendet werden könnten.

Wie der Angriff geschah

Nach Angaben von Lidl richtete sich der Angriff nicht gegen die eigene Infrastruktur des Unternehmens, sondern gegen die Systeme eines Dienstleisters. Es wird angegeben, dass Angreifer "trotz hoher IT-Sicherheitsstandards" kurzzeitig Zugriff auf eine separat gespeicherte Datei mit Kundendaten erlangten. Während dieses Zugriffs wurde ein Teil der Daten aus der Datei gestohlen. Diese Erklärung deutet darauf hin, dass der Angriff auf einen Datensatz abzielte, der von der Haupt-Online-Shopping-Plattform von Lidl unabhängig ist.

Das Unternehmen hat den Namen des betroffenen IT-Dienstleisters oder die technischen Details des Angriffs nicht öffentlich gemacht. Fragen wie welche Schwachstelle ausgenutzt wurde, wer die Angreifer sind oder wie sie in das System eingedrungen sind, bleiben unklar. Typischerweise verzichten Unternehmen in solchen Fällen auf die Offenlegung technischer Details, bis die von forensischen Experten durchgeführte Untersuchung abgeschlossen ist. Die Untersuchung zielt darauf ab, den vollen Umfang und die Auswirkungen des Angriffs aufzudecken.

Wer ist betroffen

Das Datenleck betraf Kunden, die die Online-Shops von Lidl in Deutschland, Belgien und den Niederlanden nutzten. Es wurde betont, dass die Verletzung keine Kunden betrifft, die in physischen Geschäften einkaufen, sondern nur Nutzer der Online-Plattform. Lidl gab bekannt, dass es den Prozess der direkten Benachrichtigung betroffener Kunden per E-Mail eingeleitet hat. Auch wenn Sie in einem dieser drei Länder leben und den Lidl-Onlineshop genutzt haben, aber noch keine Benachrichtigungs-E-Mail erhalten haben, wird empfohlen, wachsam zu bleiben.

Das Unternehmen hat keine genaue Zahl der insgesamt betroffenen Kunden genannt. Da es jedoch drei große europäische Märkte abdeckt, besteht die Möglichkeit, dass die Verletzung Zehn- oder sogar Hunderttausende von Personen betroffen haben könnte.

Was Sie tun können

Wenn Sie von Lidl eine Benachrichtigung über dieses Datenleck erhalten haben oder den Online-Shop in diesen Ländern genutzt haben, gibt es einige wichtige Schritte, die Sie zum Schutz Ihrer persönlichen Sicherheit unternehmen sollten. Die gestohlenen Informationen können insbesondere für Phishing- und Identitätsdiebstahlangriffe verwendet werden.

• Seien Sie bei verdächtiger Kommunikation wachsam: Betrüger mit Zugang zu Ihrem Namen, Ihrer E-Mail-Adresse und Ihrer Telefonnummer können Ihnen sehr überzeugend aussehende E-Mails oder Textnachrichten (SMS) senden, die scheinbar von Lidl stammen. Diese Nachrichten können behaupten, es gäbe ein dringendes Problem, Ihr Konto sei gesperrt worden oder Sie hätten ein Sonderangebot gewonnen, und Sie auffordern, auf einen Link zu klicken oder persönliche Informationen einzugeben.
• Überprüfen Sie den Absender: Um festzustellen, ob eine E-Mail wirklich von Lidl stammt, überprüfen Sie sorgfältig die E-Mail-Adresse des Absenders. Betrüger verwenden oft gefälschte Adressen, die der offiziellen sehr ähnlich sehen, wie z.B. "[email protected]".
• Klicken Sie nicht auf Links: Klicken Sie nicht auf Links in verdächtigen E-Mails oder Nachrichten. Wenn Sie Ihr Konto überprüfen müssen, geben Sie die offizielle Website-Adresse von Lidl direkt selbst in Ihren Browser ein.
• Teilen Sie keine persönlichen Informationen: Lidl oder eine andere legitime Institution wird Sie niemals per E-Mail oder Telefon nach sensiblen Daten wie Passwörtern oder Bankverbindungen fragen. Reagieren Sie niemals auf solche Anfragen.
• Melden Sie verdächtige Aktivitäten: Wenn Sie eine verdächtige E-Mail oder Nachricht erhalten, können Sie dies Lidl melden. Das Unternehmen hat für solche Situationen die E-Mail-Adressen [email protected] für Belgien und [email protected] für die Niederlande mitgeteilt.

Was das Unternehmen sagt

Lidl erklärte, dass es seit der Entdeckung des Vorfalls eine transparente Kommunikationspolitik verfolgt habe. In der Mitteilung auf der belgischen Website des Unternehmens hieß es: "Wir kontaktieren Sie, weil wir Sie als Kunde des Lidl-Onlineshops über einen IT-Sicherheitsvorfall informieren wollten, der bei einem unserer Dienstleister aufgetreten ist. Dieser Vorfall betrifft einige Ihrer bei Lidl gespeicherten Daten. Wir wurden Anfang dieser Woche über diesen Vorfall informiert."

Die niederländische Benachrichtigung verwendete eine ähnliche Sprache: "Unbekannte Personen haben trotz hoher IT-Sicherheitsstandards kurzzeitig Zugriff auf eine separat gespeicherte Datei mit Kundendaten erlangt, und ein Teil der Daten wurde daraus gestohlen. Das System des Online-Shops selbst war nicht betroffen."

Das Unternehmen bestätigte, dass es die Situation gemäß seinen gesetzlichen Verpflichtungen der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) gemeldet hat. Darüber hinaus wurde erklärt, dass der betroffene IT-Dienstleister Anzeige bei der Polizei erstattet und sofort mit forensischen IT-Experten zusammengearbeitet hat, um den vollen Umfang des Vorfalls zu untersuchen. Obwohl Lidl hinzufügte, dass es derzeit keine konkreten Beweise für einen Datenmissbrauch gibt, sind solche Aussagen oft Standard und bedeuten nicht, dass kein zukünftiges Risiko besteht. Vorfälle wie diese sind in der Welt der Cybersicherheit alltäglich, und es ist wichtig, auf ähnliche Risiken vorbereitet zu sein, indem man die neuesten Datenleck-Nachrichten verfolgt.

Quelle

https://securityaffairs.com/195270/data-breach/lidl-notified-online-shop-customers-in-germany-belgium-and-the-netherlands-of-a-data-breach.html