هلا كندا – تورونتو – 10 نوفمبر 2026 – تواجه شركة لوبلاو (Loblaw)، إحدى أكبر شركات تجارة المواد الغذائية والصيدليات في كندا، دعوى قضائية جماعية جديدة بعد هجوم إلكتروني أدى إلى تسريب معلومات شخصية تخص نحو مليوني كندي، وسط اتهامات للشركة بالتقصير في حماية البيانات والتأخر في إخطار المتضررين.
ورفعت مجموعة Consumer Law Group دعوى أمام محكمة العدل العليا في أونتاريو بتاريخ 2 نوفمبر 2026، مطالبة بتعويضات نيابة عن العملاء المتأثرين بالاختراق.
وتأتي الدعوى بعد تأكيد مفوض الخصوصية الكندي أن الحادث طال نحو مليوني شخص، وأن التحقيق الرسمي في إجراءات الشركة الأمنية لا يزال مفتوحاً.
كيف حدث اختراق بيانات لوبلاو؟
تعود الواقعة إلى فبراير 2026، عندما تمكن مهاجمون إلكترونيون من الوصول إلى بعض أنظمة الشركة باستخدام بيانات دخول مخترقة لمنصة مخصصة لمراقبة الجودة.
ووفق التحقيق الذي أجرته الشركة، بدأ الوصول غير المصرح به على الأرجح يوم 23 فبراير، قبل تأكيد اكتشاف الاختراق في الخامس من مارس.
وفي العاشر من مارس، نشرت لوبلاو إشعاراً عاماً بشأن الحادث، وأعلنت اتخاذ تدابير لاحتوائه، منها تسجيل خروج المستخدمين تلقائياً من تطبيقاتها.
وأكدت الشركة آنذاك أن التحقيق الأولي لم يظهر تعرض كلمات المرور أو المعلومات الصحية أو بيانات بطاقات الائتمان الكاملة للاختراق، وأن خدمات PC Financial لم تتأثر.
ما المعلومات التي تعرضت للتسريب؟
أظهرت المراجعة اللاحقة أن البيانات المتأثرة تختلف بين العملاء، وتشمل الأسماء والعناوين وأرقام الهواتف والبريد الإلكتروني وتواريخ الميلاد وأرقام حسابات الولاء وتفاصيل الطلبات وعناوين الفواتير والتوصيل.
كما شملت بعض السجلات بيانات غير مكتملة لبطاقات الدفع، مثل الأرقام الأربعة الأخيرة، وليس بالضرورة أرقام البطاقات كاملة.
وأشار التقرير الرسمي إلى تأثر معلومات إضافية تخص نحو 300 شخص، سيحصلون على إشعارات مخصصة.
وتشمل العلامات التجارية التابعة للمجموعة Loblaws وNo Frills وReal Canadian Superstore وZehrs وFortinos، ما يجعل القضية ذات نطاق وطني واسع.
اتهامات بتأخير إبلاغ المتضررين
تقول الدعوى إن الشركة لم تبلغ الأشخاص المتضررين بصورة فردية إلا في أكتوبر، رغم اكتشاف الاختراق في مارس، وتعتبر أن ذلك عرّض المستهلكين لمخاطر كان يمكن التعامل معها مبكراً.
لكن وثائق مفوض الخصوصية توضح أن الشركة أعلنت الحادث علناً في مارس، ثم نشرت تحديثاً في 2 أكتوبر، وبدأت إرسال إشعارات شخصية في 19 أكتوبر.
وبررت لوبلاو تأخر الإخطارات الفردية بالحاجة إلى مراجعة كميات كبيرة من السجلات، وإزالة التكرار، والتحقق من هوية المتأثرين ونوع بياناتهم.
هل يحصل العملاء على تعويضات مالية؟
لم تحدد الدعوى مبلغ تعويض ثابت لكل شخص، ولم تصدر المحكمة قراراً يثبت مسؤولية الشركة أو يجيز توزيع مبالغ مالية.
كما لم تُعتمد الدعوى الجماعية قضائياً بعد، وهو ما يعني أن التسجيل للاطلاع على التطورات لا يساوي تقديم مطالبة مالية مضمونة أو الحصول على تعويض.
وتشمل الفئة المقترحة الأشخاص المقيمين في كندا الذين تأثرت بياناتهم بالاختراق، وفق الشروط التي ستفصل فيها المحكمة.
وكانت دعوى جماعية منفصلة قد قُدمت أيضاً في كيبيك يوم 30 أكتوبر، في مؤشر على اتساع التحركات القانونية المرتبطة بالحادث.
مراقبة ائتمانية وتحقيق رسمي
عرضت الشركة على بعض المتضررين خدمة مجانية لمراقبة الائتمان والحماية من سرقة الهوية لمدة 24 شهراً عبر TransUnion، لكن مقدمي الدعوى يعتبرون هذا الإجراء غير كافٍ.
ووقعت لوبلاو في 21 أكتوبر خطاب التزام مع مفوض الخصوصية، يتضمن مراجعة مستقلة لإجراءات الحماية وتقديم تحديثات دورية، مع بقاء التحقيق مفتوحاً.
ويتعين على الشركة تقديم تأكيد للمفوض بحلول 16 نوفمبر بشأن إخطار جميع المتضررين، وفق الاتفاق المعلن.
ماذا ينبغي على عملاء Loblaw فعله؟
يُنصح العملاء بمراجعة الرسائل الرسمية الصادرة عن الشركة، ومراقبة حساباتهم، والحذر من الروابط المشبوهة، وتغيير كلمات المرور المعاد استخدامها.
ويمكن للمهتمين بالدعوى متابعة تطوراتها عبر صفحة Consumer Law Group الرسمية، دون الحاجة حالياً إلى تقديم مطالبة تعويض نهائية.
وتبقى قيمة التعويضات المحتملة ومسؤولية الشركة القانونية غير محسومتين، إلى حين صدور قرارات قضائية، بينما يواصل مفوض الخصوصية متابعة تنفيذ التزامات حماية البيانات.
