Datalek Lidl: klantgegevens webshop gestolen bij een IT-dienstverlener

Als het lek bij een leverancier zit die jouw klanten nooit kozen

Op 10 juli 2026 kregen webshopklanten van Lidl een mail: hun persoonsgegevens zijn gestolen. Het datalek bij Lidl ontstond niet in de webshop zelf, maar bij een IT-dienstverlener van het bedrijf. In een apart opgeslagen bestand kregen onbekenden kort toegang en namen ze een deel van de klantgegevens mee. Namen, geboortedata, telefoonnummers, e-mailadressen en klantnummers zijn weg. Wachtwoorden en betaalgegevens niet. Juist die combinatie verdient aandacht, want het is bijna de ideale startset voor een phishingcampagne.

Wat er gebeurde

Het verhaal van Lidl, verstuurd naar getroffen klanten en bevestigd in berichtgeving van Security.NL en RetailTrends, is op sommige punten vaag en op andere heel precies. Onbekenden kregen kort toegang tot een bestand bij een externe IT-dienstverlener en stalen een deel van de klantgegevens daarin. Volgens de VRT ging het om 'onbekende personen' die 'kort toegang' kregen tot een apart bestand. De webshop zelf is niet gehackt en klantaccounts zijn volgens Lidl niet gecompromitteerd.

Volgens Security.NL riep Lidl klanten op om bij onverwachte berichten altijd de afzender te controleren en niet op onbekende links te klikken. In de mails bood het bedrijf excuses aan voor het ongemak. De IT-dienstverlener schakelde forensisch onderzoekers in en deed aangifte, en de Autoriteit Persoonsgegevens is geïnformeerd.

Twee dingen maakte Lidl niet bekend: welke IT-dienstverlener het betreft en om hoeveel klanten het gaat. Ook over de reikwijdte lopen de berichten uiteen. Security.NL noemt Nederland, België en Duitsland. De VRT beschrijft het als de Belgische webshop. De veilige lezing is dat in elk geval klanten in Nederland en België getroffen zijn, en mogelijk ook in Duitsland.

Hoe de aanval werkte

Eerlijk is eerlijk: de aanvalsmethode is niet openbaar, en de identiteit van de leverancier die het bestand beheerde evenmin. Lidl spreekt van korte, ongeautoriseerde toegang tot een apart opgeslagen bestand. Die formulering wijst op een dataset buiten de eigenlijke webshopapplicatie, misschien een export, een back-up of een werkkopie voor een of ander operationeel doel. Dat is een aanname van ons, geen vaststaand feit, en zo benoemen we het ook.

Wat wel te zeggen valt, is de vorm van de fout. De gegevens die bij dit soort incidenten worden gestolen, zitten vaak niet in het goed beveiligde productiesysteem. Ze zitten in de kopie. Een bestand dat is geëxporteerd voor analyse, migratie of support, en daarna ergens is opgeslagen met minder strenge beveiliging dan het systeem waar het uit kwam. Dat is een terugkerend patroon bij datalekken via leveranciers. Niemand heeft de aanval opgeëist en Lidl meldt tot nu toe geen concrete aanwijzingen van misbruik. Zo vroeg zegt dat laatste weinig.

Wie zijn er getroffen

Webshopklanten met een account, in elk geval in Nederland en België. Lidl heeft geen aantal gedeeld en wilde dat desgevraagd ook niet doen. De gelekte velden zijn volledige naam, geboortedatum, telefoonnummer, e-mailadres en klantnummer.

Let op wat er ontbreekt en wat er wél in zit. Geen wachtwoord, dus geen directe route naar accountovername vanuit deze data alleen. Geen bank- of betaalgegevens, dus geen directe financiële diefstal. Wat overblijft is een schoon identiteitsprofiel: een echte naam gekoppeld aan een echte geboortedatum, een echt telefoonnummer en een klantnummer dat bewijst dat iemand daadwerkelijk bij Lidl kocht. Voor een phishingoperator is dat waardevoller dan een wachtwoord. Een wachtwoord reset je weg. Een naam, een geboortedatum en het bewijs van een echte klantrelatie verlopen niet, en ze maken de volgende nepmail een stuk overtuigender.

Wat dit betekent voor jouw organisatie

Lidl is een consumentendatalek en zo wordt het ook grotendeels gebracht. Voor een Nederlandse organisatie zitten er twee lessen in die niets met boodschappen te maken hebben.

Data bij je leverancier is nog steeds jouw lek. Lidl verloor deze gegevens niet uit de eigen webshop. Een IT-dienstverlener verloor ze, uit een bestand dat de leverancier beheerde. Onder de AVG verschuift dat de verantwoordelijkheid niet. Als jij persoonsgegevens uitbesteedt aan een verwerker, je salarisadministratie, je CRM-host, je mailplatform, je analytics-partij, dan is een incident bij hen jouw meldplicht en jouw reputatieprobleem. In de verhouding tussen verwerker en verwerkingsverantwoordelijke blijft de verwerkingsverantwoordelijke, jij dus, degene die de betrokkenen en de Autoriteit Persoonsgegevens moet informeren. De verwerker meldt aan jou, jij meldt aan de buitenwereld.

De meldplicht loopt door bij jou. Zit het lek bij je IT-dienstverlener, dan begint jouw 72-uursklok op het moment dat jij op de hoogte raakt van het datalek, niet op het moment dat de leverancier het ontdekte. Word je pas laat ingelicht, dan sta je met een achterstand aan de start. Leg daarom in de verwerkersovereenkomst vast binnen hoeveel uur de verwerker een incident moet doorgeven, en oefen die keten voordat je hem echt nodig hebt.

De phishing die hierop volgt, ziet er niet uit als phishing. Denk aan wat een aanvaller nu kan schrijven. Een mail die de klant met volledige naam aanspreekt, het echte Lidl-klantnummer noemt, iets vriendelijks zegt rond de echte geboortedatum en vraagt om iets te bevestigen om het account actief te houden. Geen taalfouten. Geen vreemde afzender die een training van vijf minuten eruit pikt. Dezelfde soort aanval landt bij jouw organisatie zodra jouw medewerkers of klanten in zo'n lek opduiken.

Dat is het gat dat phishingsimulatie moet dichten. De phishing na een lek als dat van Lidl komt binnen met echte namen en echte klantnummers, precies waar algemene bewustwordingstraining mensen niet op voorbereidt. SecDesk draait phishingsimulaties en awarenesscampagnes gebouwd op de lokmails die je mensen echt gaan zien. Hoe dat werkt zie je op secdesk.com/phishing-campaign.