Filtración de datos en Lidl: contraseñas y datos bancarios, a salvo pese al robo de información personal

Lidl ha confirmado una filtración de datos que afecta a clientes de su tienda online en España. El origen no está en la propia compañía, sino en uno de sus proveedores de servicios de TI, a través del cual un atacante logró acceder a un archivo con información personal.

Entre los datos sustraídos figuran nombre y apellidos, teléfono, correo electrónico y fecha de nacimiento, aunque la buena noticia, si puede llamarse así, es que contraseñas, direcciones y datos bancarios se han quedado fuera del alcance del ataque, según ha precisado la propia empresa.

Qué datos han robado a los clientes de Lidl

Según la información adelantada por Escudo Digital, el atacante llegó a acceder a nombre y apellidos, tratamiento, número de teléfono, correo electrónico, fecha de nacimiento y número de cliente. Es decir, información suficiente para identificar a una persona, pero no para operar en su nombre. Lidl descarta, de hecho, que el incidente haya afectado a contraseñas, direcciones de facturación o envío, datos bancarios u otra información de pago, y añade que la cuenta de cliente tampoco se ha visto comprometida en ningún momento.

Conviene aclarar dónde estuvo el fallo, porque no se originó en los sistemas propios de la tienda online, sino en uno de los proveedores de servicios de TI de Lidl. Así lo explica la compañía en su comunicado: “Personas desconocidas lograron acceder brevemente a un archivo almacenado por separado que contenía datos de clientes y robaron parte de ellos, a pesar de los altos estándares de seguridad informática”. Y remata con una precisión que busca acotar el daño: “El sistema de la propia tienda online no se vio afectado”.

La empresa fue informada del incidente “a principios de esta semana” y, en cuanto tuvo constancia de lo ocurrido, el proveedor implicado puso en marcha las medidas necesarias para restablecer la seguridad de los sistemas afectados.

Qué medidas ha tomado Lidl

El proveedor de TI afectado ha abierto una investigación forense para determinar el alcance exacto del acceso y las circunstancias en las que se produjo el robo de datos, y ha presentado una denuncia penal. Por su parte, Lidl ha notificado el incidente a la Agencia Española de Protección de Datos, como marca el protocolo en estos casos.

Por ahora, sin embargo, quedan varias incógnitas por resolver. Lidl no ha revelado cuántos clientes se han visto afectados en España ni el nombre del proveedor de TI implicado, y hasta el momento ningún grupo de ciberdelincuentes se ha atribuido el ataque.

Un incidente que se repite en varios países europeos

El problema, además, no se limita a España. El mismo fallo de seguridad ha afectado también a clientes de la tienda online de Lidl en Países Bajos, Bélgica y Alemania, que han recibido notificaciones similares, y las autoridades de protección de datos de esos países han sido igualmente informadas.

Tampoco es la primera vez que ocurre algo así en el comercio español en los últimos meses. Travel Club sufrió en 2025 un robo de datos personales básicos sin acceso a contraseñas ni a tarjetas de pago, un patrón muy similar al de Lidl. En cambio, Endesa confirmó una brecha bastante más grave, ya que en ese caso sí se filtró el IBAN de sus clientes, además del DNI.

Qué recomienda Lidl a sus clientes

La compañía asegura no tener constancia, de momento, de un uso indebido de los datos sustraídos. Aun así, advierte de que podrían aumentar los intentos de phishing y suplantación de identidad, ya que aunque los datos filtrados no permiten acceder a las cuentas, sí sirven para dar más credibilidad a mensajes fraudulentos por correo, SMS o teléfono. Por eso, recomienda tener en cuenta lo siguiente:

• Precaución ante comunicaciones inesperadas: desconfiar de correos, SMS o llamadas no solicitadas.
• Verificación del remitente: comprobar siempre la identidad antes de facilitar información personal.
• Enlaces desconocidos: evitar pulsarlos si hay dudas sobre el origen del mensaje.
• Consultas sobre el incidente: dirigirlas al correo data.shop@lidl.es, habilitado por la compañía.