Worten-Cyberangriff: Steuernummer, E-Mail und Telefon von Kunden

Worten, ein Händler der Sonae-Gruppe, hat bestätigt, Ziel eines Cyberangriffs geworden zu sein, der unbefugten Zugriff auf personenbezogene Daten einer kleinen Kundengruppe ermöglichte. Das Unternehmen machte den Einbruch am Mittwoch, dem 11. November 2026, öffentlich, laut Pplware, und nannte die betroffenen Daten am Donnerstag, dem 12. November, in einer Nachricht an die Kunden, laut ECO.

Auf welche Daten griffen die Angreifer bei Worten zu?

Laut der von ECO zitierten Worten-Nachricht waren vier Arten von Informationen betroffen. Die NIF ist die portugiesische Steuernummer, die jedem Steuerpflichtigen zugeordnet ist.

• NIF (Steuernummer);
• Telefonnummer;
• E-Mail-Adresse;
• in einigen Fällen die Kennnummer getätigter Bestellungen.

Das Unternehmen versichert laut ECO, dass keine Informationen verändert oder gelöscht wurden und dass weder auf Zahlungsdaten wie Bankkarten noch auf Passwörter oder andere Zugangsdaten zum Konto zugegriffen wurde. Pplware berichtet dieselbe Zusicherung: Weder Passwörter noch Zahlungsdaten seien kompromittiert worden.

Da keine Passwörter abgerufen wurden, erlauben diese Daten weder den Zugriff auf Ihr Worten-Konto noch Zahlungen in Ihrem Namen

Wie reagierte Worten, und was ist noch unklar?

Laut derselben Nachricht gibt Worten an, sofort das interne Protokoll zur Reaktion auf Cybersicherheitsvorfälle aktiviert und die Lage eingedämmt zu haben. Es habe zudem die Ursache des Angriffs behoben, den Schutz der Zugänge zu den Systemen verstärkt und arbeite eng mit den zuständigen Stellen zusammen, laut ECO und Pplware. Das Unternehmen beschreibt den Vorfall als kriminellen Cyberangriff und sagt, es wolle transparent mit den Kunden kommunizieren.

Worten spricht von einer kleinen Kundengruppe, doch die beiden gelesenen Quellen nennen keine Zahl der Betroffenen. Offen bleibt in diesen Quellen:

• wie viele Kunden betroffen sind;
• wie die Angreifer in die Systeme eindrangen;
• wer hinter dem Angriff steckt;
• welche Stellen wann informiert wurden.

Warum genügen Steuernummer und E-Mail für einen Betrug?

Worten erklärt in der von ECO zitierten Nachricht, die wichtigste Vorsicht gelte möglichen gefälschten Kontakten per E-Mail, SMS oder Telefon von jemandem, der die NIF oder eine Bestellung des Kunden nennt, um vertrauenswürdig zu wirken. Diese Betrugsmasche, Phishing genannt, wenn sie eine vertrauenswürdige Stelle nachahmt, um an Zahlungen oder Zugangsdaten zu gelangen, wird glaubwürdiger, wenn der Betrüger echte Daten nennt.

Pplware erklärt die Logik: Wer eine NIF oder eine Bestellnummer kennt, kann eine Nachricht überzeugender machen, doch diese Angaben beweisen für sich genommen nicht, dass ein Kontakt echt ist. Selbst wenn die Passwörter geschützt bleiben, betont die Seite, verlange die Offenlegung personenbezogener Daten Aufmerksamkeit bei eingehenden Kontakten.

Was tun bei einer verdächtigen Nachricht?

Pplware empfiehlt, bei einer unerwarteten Nachricht, die Zahlungen, Zugangsdaten oder Bestätigungscodes verlangt, die Anfrage direkt in der App oder auf der offiziellen Website von Worten zu prüfen. Außerdem rät Pplware, die in dieser Nachricht gesendeten Links zu meiden. In der Praxis verdienen diese Zeichen Misstrauen:

• eine Zahlungsaufforderung, die der Kunde nicht erwartet hat;
• eine Aufforderung zur Eingabe von Zugangsdaten oder Bestätigungscodes;
• ein Link in der Nachricht selbst statt eines direkten Zugangs über die App oder die offizielle Website;
• eine Nachricht, die die NIF oder eine Bestellung nennt, um vertrauenswürdig zu wirken, ohne dass dies ihre Herkunft belegt.

Was ändert sich für Unternehmen in Europa?

Der Fall zeigt, dass als risikoarm geltende Daten wie eine Steuernummer, eine Telefonnummer oder eine E-Mail-Adresse genügen, um glaubwürdige Betrugsversuche zu speisen, selbst wenn Passwörter und Karten unangetastet bleiben. Für ein Unternehmen, das solche Kundendaten speichert, heißt das: prüfen, welche Informationen es aufbewahrt und wie lange, denn was nicht gespeichert wird, kann nicht offengelegt werden.

Es heißt auch, das Protokoll zur Reaktion auf Vorfälle vorzubereiten, bevor es gebraucht wird, wie Worten es nach eigener Aussage getan hat, und schnell und konkret mit den Kunden zu kommunizieren, mit genauen Angaben zu den betroffenen Daten und den nötigen Vorsichtsmaßnahmen. Allgemein sieht die Datenschutz-Grundverordnung (DSGVO) vor, dass Verletzungen des Schutzes personenbezogener Daten der Aufsichtsbehörde gemeldet werden, in Portugal der CNPD, in der Regel binnen 72 Stunden. Die gelesenen Quellen sagen nicht, ob und wann Worten dies getan hat.