Les clients de la boutique en ligne Lidl en France ont été victimes d’un vol de données personnelles. E-mails, noms, numéros de téléphone et dates de naissance ont été exfiltrés chez un prestataire informatique externe. Voici ce que l’on sait et comment se protéger.
L’enseigne de hard-discount Lidl, filiale du groupe allemand Schwarz (377 000 salariés, 12 900 magasins dans 32 pays), a confirmé le vol de données personnelles touchant les clients de sa boutique en ligne dans quatre pays européens : la France, la Belgique, les Pays-Bas et l’Allemagne. Les clients concernés ont commencé à être notifiés par e-mail le 10 juillet 2026, selon le courrier officiel de l’entreprise.
Contrairement à ce que l’on pourrait craindre, la boutique en ligne elle-même n’a pas été compromise. Les attaquants ont brièvement accédé à un fichier client hébergé de manière isolée chez un prestataire informatique externe, dont l’identité reste confidentielle. Une partie des données a été exfiltrée avant que les systèmes ne soient sécurisés. Le sous-traitant a déposé plainte et mandaté des experts en forensique numérique. Lidl a de son côté notifié les autorités de protection des données compétentes dans chaque pays, dont la CNIL en France.
Le fichier volé contient les informations suivantes : civilités, prénoms et noms, numéros de téléphone, adresses e-mail, dates de naissance et numéros de client Lidl. L’enseigne se montre en revanche affirmative sur un point : les mots de passe, les adresses de facturation et de livraison, les coordonnées bancaires et les informations de paiement n’ont pas été compromis. Les comptes clients eux-mêmes n’ont pas été touchés.
Des millions de clients concernés, aucun chiffre officiel
Lidl n’a communiqué aucun chiffre sur le nombre de personnes touchées, dans aucun des quatre pays concernés. L’enseigne étant présente dans 32 pays et mutualisant certains prestataires, d’autres filiales pourraient potentiellement être affectées. Plusieurs médias belges (La Libre, Le Soir, RTBF) et français (01net, KultureGeek) confirment l’ampleur de l’incident, sans pouvoir non plus avancer de nombre précis. La notification a été envoyée aux clients à partir du 10 juillet, mais l’attaque elle-même aurait eu lieu plusieurs jours plus tôt, avant la mise en sécurité des systèmes du prestataire.
Le danger immédiat ne réside pas dans l’utilisation frauduleuse directe des données volées. Aucune preuve d’exploitation n’a été établie à ce jour. Le principal risque est celui du phishing ciblé. Un nom complet, une date de naissance et un numéro de client suffisent en effet à bâtir un faux e-mail ou SMS crédible au nom de Lidl, dans le but de soutirer davantage d’informations sensibles comme des mots de passe ou des coordonnées bancaires.
Comment se protéger après cette fuite de données
L’enseigne recommande plusieurs mesures de précaution. En premier lieu, vérifier systématiquement l’identité de l’expéditeur de tout message inattendu se faisant passer pour Lidl. Ne cliquer sur aucun lien suspect et ne transmettre aucune donnée personnelle en réponse à un tel message. Les clients français peuvent contacter le service de protection des données de Lidl France à l’adresse [email protected] pour toute question ou signalement. Lidl précise également qu’elle ne demandera jamais par e-mail ou SMS des mots de passe ou des numéros de carte bancaire à ses clients.
Cet incident rappelle que les sous-traitants externes représentent un maillon faible fréquent dans la sécurité des données. En France, la CNIL impose depuis 2022 des obligations renforcées aux entreprises en matière de sécurisation des données traitées par des prestataires tiers, dans le cadre du RGPD. Le coût moyen d’une fuite de données pour une entreprise était estimé à 4,4 millions de dollars en 2025 selon le rapport annuel d’IBM, un chiffre en hausse constante sous l’effet de la complexité croissante des systèmes d’information et de la multiplication des attaques ciblant les chaînes d’approvisionnement numériques.
Un schéma d’attaque qui se répète
Le vol de données via un prestataire externe est un scénario malheureusement classique en 2026. Des enseignes comme Basic-Fit, Easy Cash ou encore Nintendo ont subi des attaques similaires ces derniers mois, avec des fichiers clients hébergés chez des sous-traitants mal sécurisés devenant la porte d’entrée des cybercriminels. La différence cette fois-ci, c’est que Lidl a réagi rapidement en sécurisant ses systèmes, en notifiant les autorités et en communiquant de manière transparente sur la nature exacte des données volées. Ce qui n’empêche pas les clients de rester vigilants face aux tentatives d’hameçonnage qui pourraient suivre dans les prochaines semaines.
Un précédent d’ampleur pour le hard-discount
Cette fuite de données intervient dans un contexte où les cyberattaques contre les distributeurs européens se multiplient. En avril 2026, l’enseigne Basic-Fit avait subi une fuite massive exposant les données de millions d’abonnés en Europe. En mai, Easy Cash avait confirmé un vol de données clients via un accès non autorisé à ses serveurs. Le secteur de la grande distribution est particulièrement exposé car il traite des volumes massifs de données personnelles tout en externalisant fréquemment sa gestion informatique auprès de prestataires spécialisés. Les experts recommandent aux entreprises de la filière de revoir leurs contrats de sous-traitance et d’imposer des audits de sécurité réguliers à leurs fournisseurs, une précaution qui reste trop rare dans le secteur.
