Lidl ha iniziato a inviare email di allerta ai propri clienti il 10 luglio 2026, dopo che ignoti sono riusciti ad accedere a un file contenente dati personali — nome, cognome, telefono, email, data di nascita, numero cliente e dettagli di singoli ordini — sottratto non ai sistemi diretti dell’insegna, ma a un fornitore IT esterno che elabora dati per suo conto. Password, dati di pagamento e indirizzi di fatturazione non risultano coinvolti. Il rischio concreto, come segnala la stessa Lidl, è il phishing mirato: email o SMS costruiti su ordini reali, quindi più credibili del solito.
Sarebbe un errore leggerlo come un incidente isolato. È l’ultimo di una serie che nel 2025-2026 ha attraversato l’intera distribuzione europea, e il denominatore comune tra i casi più gravi non è la debolezza dei sistemi interni dei retailer — è la catena di fornitori a cui quei sistemi si appoggiano.
Nell’agosto 2025 Auchan, in Francia, ha subito una violazione che ha colpito il programma di fidelizzazione clienti, esponendo nomi, indirizzi di casa ed email di centinaia di migliaia di persone — un bersaglio scelto non a caso: i database di loyalty concentrano in un unico punto anni di storico d’acquisto e dati anagrafici, il che li rende particolarmente appetibili per chi vuole costruire profili completi da rivendere o usare in campagne di phishing mirato. Pandora, in Danimarca, e Louis Vuitton, in Francia, sono finite nella stessa ondata di attacchi nel corso dell’anno, insieme al distributore alimentare americano Lovesac. Ma il caso che ha ridefinito la percezione del rischio nel settore, spingendo molti retailer a rivedere da zero i propri piani di risposta agli incidenti, resta quello di Marks & Spencer nel Regno Unito.
Ad aprile 2025, nel weekend di Pasqua, il gruppo britannico è stato colpito da un attacco ransomware attribuito al collettivo Scattered Spider, che ha usato tecniche di ingegneria sociale contro i dipendenti di un fornitore terzo (secondo fonti Reuters, Tata Consulting Services) per poi muoversi lateralmente nei sistemi M&S — gli investigatori ritengono che l’accesso iniziale risalisse già a febbraio, settimane prima che l’attacco diventasse visibile. Il risultato: pagamenti contactless fuori uso per oltre 72 ore, ordini online sospesi per 46 giorni, oltre 1.400 negozi costretti a tornare a carta e penna per tracciare scorte fresche e capi d’abbigliamento, scaffali vuoti per settimane. M&S ha stimato l’impatto sui profitti in circa 300 milioni di sterline (poco più di 400 milioni di dollari), a cui si è aggiunta una perdita di valore di mercato superiore ai 500 milioni di sterline nei giorni immediatamente successivi alla notizia, e perdite operative giornaliere stimate in quasi 4 milioni di sterline durante la sospensione delle vendite online. Nello stesso periodo sono finiti nel mirino anche Co-op e la catena di lusso Harrods, segno che l’ondata non ha colpito un’azienda isolata ma l’intero comparto britannico in una finestra temporale ristretta.
L’effetto collaterale più istruttivo di tutta la vicenda M&S non è tecnico, è competitivo. Next, uno dei principali concorrenti diretti, ha rivisto al rialzo le proprie previsioni di profitto per la quarta volta in un anno, citando esplicitamente la “competitor disruption” — cioè i clienti dirottati altrove mentre M&S era fuori gioco online. Un attacco informatico, in un mercato maturo e competitivo come il retail britannico, non danneggia solo chi lo subisce: sposta quote di mercato verso chi resta operativo.
Il filo che lega Lidl, M&S, Auchan e gli altri casi è sempre lo stesso: l’ingresso non avviene quasi mai forzando direttamente i sistemi del retailer, ma attraverso un fornitore terzo — un provider IT, un partner logistico, un gestore di programmi fedeltà. Secondo dati citati dal settore, circa il 60% delle violazioni nel retail nel 2025 ha avuto origine in vulnerabilità di fornitori o vendor terzi, e gli attacchi contro M&S ne sono l’esempio scolastico.
È una conseguenza diretta di come funziona oggi la distribuzione moderna. Nessun grande retailer gestisce più l’intera infrastruttura IT in autonomia: cloud provider, software di gestione, partner logistici, specialisti di pagamento sono parte integrante della catena del valore digitale. Ogni anello aggiuntivo è, potenzialmente, un punto d’ingresso in più. Lidl, che pure fa capo a un gruppo — la Schwarz-Gruppe — che investe da anni cifre rilevanti nella cybersicurezza attraverso la controllata Schwarz Digits, non ha fatto eccezione: il varco non era nei suoi sistemi, ma in quelli del fornitore.
I numeri aggregati confermano che non si tratta di episodi isolati ma di una tendenza strutturale. Il Garante privacy olandese ha registrato oltre 39.000 notifiche di violazione nel 2025, in crescita rispetto alle quasi 38.000 del 2024; tra queste, le violazioni legate propriamente a cyberattacchi sono salite a circa 2.400 da 1.500, e i casi di takeover di account sono quasi triplicati, da circa 600 a oltre 1.700. Secondo l’RH-ISAC, il settore retail ha visto gli incidenti di sicurezza salire da 725 a 837 tra il 2023 e il 2024, con le violazioni confermate cresciute da 369 a 419 — e quasi la metà di tutte le violazioni nel settore coinvolge dati personali dei clienti (PII): nomi, email, dettagli di pagamento, storico acquisti.
Il costo medio globale di una violazione nel retail viene stimato attorno ai 3,5 milioni di dollari, cifra che però racconta solo una parte della storia se confrontata con i 400 milioni di impatto sui profitti dichiarati da M&S per un singolo evento. Diversi osservatori del settore segnalano inoltre che gli aggressori stanno affinando le proprie tecniche per restare nascosti più a lungo prima di distribuire il ransomware, aumentando il tempo medio di permanenza indisturbata nei sistemi compromessi — un dettaglio che rende ancora più difficile individuare una violazione prima che i dati vengano effettivamente sottratti. A ciò si aggiunge un fattore che pochi retailer hanno ancora messo pienamente in conto: le stesse tecnologie di intelligenza artificiale che i criminali informatici usano per generare messaggi di phishing più realistici e personalizzati rendono i dati sottratti — anche quelli apparentemente “innocui” come nome, email e storico ordini, esattamente il tipo di informazione finita nelle mani degli attaccanti nel caso Lidl — uno strumento ancora più efficace per colpire i clienti dopo la violazione.
Qui si arriva al punto che dovrebbe interessare chi guida un’insegna della grande distribuzione più della cronaca del singolo incidente. Il danno reputazionale e finanziario di una violazione non dipende più solo dalla capacità di prevenirla — evidentemente sempre più difficile quando il perimetro da difendere si estende a decine di fornitori esterni — ma dalla rapidità e trasparenza con cui l’azienda reagisce quando accade comunque. Lidl ha informato i clienti coinvolti entro pochi giorni dalla scoperta, comunicando apertamente l’accaduto e le raccomandazioni pratiche da seguire; è un comportamento che nelle crisi di questo tipo pesa quanto, se non più, dell’incidente stesso sulla fiducia dei consumatori.
Il caso Next-M&S mostra però che la posta in gioco va oltre la gestione della crisi comunicativa. In un mercato dove i margini della GDO sono già sottilissimi, un’interruzione prolungata dei canali digitali si traduce direttamente in quote di mercato che finiscono nelle mani della concorrenza — quote che, come dimostra il caso britannico, non è affatto scontato si possano recuperare integralmente una volta ripristinati i sistemi.
Resta una domanda aperta per l’intero settore: se il 60% delle violazioni nasce nella catena di fornitori, la vera priorità per la GDO europea non è più solo blindare i propri sistemi interni, ma imporre — e verificare concretamente — standard di sicurezza equivalenti a ogni anello della filiera digitale. Quanti retailer, oggi, sono davvero in grado di dire di averlo fatto, e non solo di averlo scritto nei contratti con i propri fornitori?
