Súlyos adatlopás a Lidl Plus európai rendszerében: megszólalt a diszkontlánc, érinti-e a magyar vásárlókat

A nemzetközi sajtóban július közepén robbant a hír, hogy hackerek feltörték a Lidl egyik külső IT-szolgáltatójának adatbázisát, és ennek nyomán a német, belga és holland Lidl Plus online vásárlók adatai kerültek illetéktelenek birtokába. A cég egyelőre nem hozta nyilvánosságra sem az érintett ügyfelek pontos számát, sem az érintett szolgáltató nevét.

Sajtóinformációk szerint az adatlopás során kikerült ügyféladatok között név, e-mail cím, telefonszám, születési dátum és ügyfélazonosító szerepelt. A cég közlése alapján ugyanakkor sem jelszavak, sem számlázási vagy szállítási címek, sem banki adatok vagy egyéb fizetési információk nem kerültek ki. A Lidl az incidens után tájékoztatta az érintett online vásárlóit az esetről, és a levelekben adathalász e-mailekre, illetve személyazonosság-lopási kísérletekre való fokozott figyelmet kért.

Mi a helyzet a Lidl Magyarország vásárlóinak adataival?

A nemzetközi incidens kapcsán a Pénzcentrum részletes kérdéssort küldött a Lidl Magyarországnak: érdeklődtünk arról, érintettek-e a hazai ügyfelek, ugyanazt a külső IT-szolgáltatót használják-e, ugyanazon vagy hasonló informatikai infrastruktúrán kezelik-e a magyar vásárlók adatait, indítottak-e rendkívüli belső auditot, javasolnak-e óvintézkedéseket a magyar felhasználóknak, illetve felülvizsgálják-e a külső IT-partnerek biztonsági követelményeit és ellenőrzési gyakorlatát.

A cégtől kapott válasz első és leglényegesebb üzenete a magyar vásárlók számára szó szerint így hangzik: „A Lidl Magyarország és a Lidl Magyarország vásárlói nem érintettek ebben az incidensben, ebből kifolyólag a Lidl Magyarország vásárlóinak nem szükséges további biztonsági intézkedéseket tenniük."

A cég szerint sem jelszó, sem banki adat nem került illetéktelenek kezébe

A magyar érintettség cáfolása után a Lidl Magyarország a nyugat-európai eset részleteivel folytatta a Pénzcentrumnak küldött állásfoglalását. A vállalat szöveghűen a következőket közölte az incidens természetéről és annak határairól:

Az érintett online ügyfeleket a vállalat már tájékoztatta az esetről. Fontos kiemelni, hogy magának az online áruháznak a rendszerei egyetlen pillanatra sem voltak veszélyben. Továbbá szeretnénk tájékoztatni, hogy sem a jelszavak, sem pedig a számlázási és szállítási címek, banki adatok vagy egyéb fizetési információk nem kerültek illetéktelen kezekbe. Az ügyfélfiókok ezáltal nem kompromittálódtak. A vállalat IT-szolgáltatója azonnal reagált, amint az esetről tudomást szerzett és megtette a szükséges intézkedéseket az IT-rendszerek teljes körű védelmének helyreállítása érdekében.

A cég közlése tehát egybecseng a nemzetközi sajtóhírekkel abban, hogy a fizetéssel és bejelentkezéssel közvetlenül összefüggő ügyféladatok a vállalat álláspontja szerint sértetlenek maradtak, és az incidens nem magát az online áruházi rendszert, hanem egy külső IT-szolgáltatót érintett.

„Prioritásként kezeljük" – a felülvizsgálati részletekről nem közölt konkrétumot a Lidl

A Pénzcentrum külön is rákérdezett arra, milyen konkrét lépéseket tesz a Lidl Magyarország annak érdekében, hogy egy hasonló, beszállítót érintő kibertámadás ne veszélyeztesse a hazai ügyfelek adatait, illetve felülvizsgálja-e a külső IT-partnerek biztonsági követelményeit és ellenőrzési gyakorlatát. Mint fogalmaztaK:

Az adatvédelem – különösen vásárlóink adatainak védelme – kiemelten fontos témakör számunkra, amelyet vállalatunk minden projektje és folyamata során a legnagyobb gondossággal vesz figyelembe. Különösen az online csatornáink esetében működünk együtt szorosan a vállalat adatvédelmi és információbiztonsági osztályával és kollégáival, valamint külső adatvédelmi és IT-biztonsági szakértőkkel. Szeretnénk biztosítani arról, hogy vállalatunk prioritásként kezeli és intenzíven dolgozik a biztonsági standardok folyamatos növelésén.

A cég válasza a partneri auditokra, illetve a szolgáltatói ellenőrzési rendszer konkrét gyakorlatára – arra a szempontra, amely éppen a mostani, harmadik fél elleni támadás fényében a kulcskérdés – konkrét számokat és eljárási elemeket nem tartalmaz. Az általánosabb megfogalmazás annyit rögzít, hogy "a biztonsági standardok folyamatos emelése a vállalat prioritásai közé tartozik".

Mit tegyen a magyar Lidl Plus felhasználó?

A Lidl Magyarország álláspontja alapján a hazai Lidl Plus programban regisztrált vásárlóknak – beleértve a mobilapplikációt aktívan használó ügyfeleket is – nem szükséges óvintézkedéseket tenniük az incidens miatt, mert az érintett rendszerek és ügyfélkör Magyarországtól elkülönültek.

Érdemes ugyanakkor észben tartani, hogy a Lidl a nyugat-európai érintett ügyfeleknek kifejezetten adathalász e-mailek és személyazonosság-lopási kísérletek kapcsán adott figyelmeztetést. Ezek olyan másodlagos támadási formák, amelyek a kiszivárgott ügyféladatok birtokában bárkit érinthetnek, akinek pontos neve, e-mail címe és telefonszáma egy nyilvánosan keringő listán ott van.

Egy magyar felhasználó esetében a cég közlése szerint ilyen kiszivárgás nem történt, de az utóbbi évek európai kiskereskedelmi és pénzügyi adatvédelmi incidensei alapján az általános digitális éberség – furcsa hivatkozásokat tartalmazó levelek, ismeretlen feladóktól érkező „ügyfélazonosító megerősítése" jellegű kérések óvatos kezelése – így is indokolt marad.