Wortenにサイバー攻撃、顧客の納税番号・メール・電話番号が流出、パスワードと決済情報は無事

Sonaeグループの小売企業Wortenは、サイバー攻撃を受け、少数の顧客の個人データに不正アクセスされたことを確認した。Pplwareによると、同社は2026年11月11日（水）に侵入を公表し、ECOによると、11月12日（木）に顧客向けメッセージで影響を受けたデータの詳細を伝えた。

Wortenのサイバー攻撃でどのデータにアクセスされたのか

ECOが引用したWortenのメッセージによると、4種類の情報が影響を受けた。NIFはポルトガルの納税者番号で、納税者ごとに割り当てられている。

• NIF（納税者番号）
• 電話番号
• メールアドレス
• 場合によっては、注文の識別番号

ECOによると、同社は、情報の改ざんや削除はなく、銀行カードなどの決済データ、パスワードやその他のアカウント認証情報にはアクセスされていないと説明している。Pplwareも同じ説明を伝えており、パスワードも決済データも侵害されていないという。

パスワードにはアクセスされていないため、これらのデータでは、お客様のWortenアカウントにアクセスすることも、お客様の名義で支払いを行うこともできません

Wortenはどう対応したのか、何がまだ分かっていないのか

同じメッセージによると、Wortenは、サイバーセキュリティ・インシデント対応の社内手順を直ちに発動し、事態を封じ込めたとしている。ECOとPplwareによると、攻撃の原因も修正し、システムへのアクセス保護を強化し、所管当局と緊密に連携しているという。同社はこの件を犯罪的なサイバー攻撃と位置づけ、顧客との透明な情報伝達を望むとしている。

Wortenは少数の顧客と述べているが、読んだ2つの情報源は影響を受けた人数を示していない。これらの情報源で不明のままの点は次のとおり。

• 影響を受けた顧客の数
• 攻撃者がどのようにシステムに侵入したか
• 攻撃の背後にいるのは誰か
• どの機関にいつ通知されたか

なぜ納税番号とメールアドレスだけで詐欺が成立するのか

Wortenは、ECOが引用したメッセージの中で、最も注意すべきは、信頼させるために顧客のNIFや注文に言及する人物からの、メール、SMS、電話による偽の連絡だと述べている。信頼できる組織を装って支払いや認証情報を引き出すこの種の詐欺はフィッシング（phishing）と呼ばれ、詐欺師が本物のデータを口にすると信憑性が高まる。

Pplwareはその仕組みを説明している。NIFや注文番号を知っていれば、詐欺師はメッセージをより説得力のあるものにできるが、それらだけでは連絡が正当であることの証明にならない。同サイトは、パスワードが守られていても、個人データの流出は受け取る連絡への注意を必要とすると強調している。

不審なメッセージを受け取ったらどうすべきか

Pplwareは、支払い、認証情報、確認コードを求める予期しないメッセージを受け取った場合、顧客はWortenのアプリまたは公式サイトで直接その依頼を確認するよう勧めている。また、そのメッセージ内のリンクを避けることも勧めている。実際には、次のような兆候に警戒すべきである。

• 顧客が予期していない支払いの依頼
• 認証情報や確認コードの要求
• アプリや公式サイトへ直接アクセスする代わりに、メッセージ内で送られてきたリンク
• 信頼させるためにNIFや注文に言及するが、送信元の証明にはならないメッセージ

企業にとって何が変わるのか

この件は、納税番号、電話番号、メールアドレスのようにリスクが低いと見なされるデータでも、パスワードやカードが無事であっても、信憑性の高い詐欺を後押しするのに十分であることを示している。こうした顧客データを保有する企業にとっては、どの情報をどれだけの期間保存するかを見直す必要がある。保存していないものは流出しないからだ。

また、Wortenが実施したと述べているように、必要になる前にインシデント対応手順を整えておくこと、そしてどのデータが影響を受け、どのような対策を取るべきかを正確に示して、顧客に迅速かつ具体的に伝えることも求められる。一般論として、一般データ保護規則（GDPR）は、個人データの侵害を監督機関（ポルトガルではCNPD）に原則72時間以内に通知するよう定めている。読んだ情報源は、Wortenがこれを行ったかどうか、いつ行ったかについて述べていない。