Worten 사이버 공격, 고객 납세번호·이메일·전화번호 노출, 비밀번호와 결제 정보는 안전

Sonae 그룹 소속 유통업체 Worten은 사이버 공격을 받아 소수 고객의 개인 데이터에 무단 접근이 이뤄졌다고 확인했다. Pplware에 따르면 회사는 2026년 11월 11일 수요일에 침입 사실을 공개했고, ECO에 따르면 11월 12일 목요일에 고객에게 보낸 메시지로 영향을 받은 데이터를 상세히 밝혔다.

Worten 사이버 공격에서 어떤 데이터에 접근했나?

ECO가 인용한 Worten의 메시지에 따르면 네 가지 유형의 정보가 영향을 받았다. NIF는 포르투갈의 납세자 식별번호로, 납세자마다 부여된다.

• NIF(납세자 식별번호)
• 전화번호
• 이메일 주소
• 경우에 따라 주문 식별번호

ECO에 따르면 회사는 어떤 정보도 변경되거나 삭제되지 않았고, 은행 카드 같은 결제 데이터와 비밀번호 및 기타 계정 접속 자격 증명에도 접근이 없었다고 장담한다. Pplware도 같은 설명을 전한다. 비밀번호도 결제 데이터도 침해되지 않았다는 것이다.

비밀번호에는 접근하지 않았으므로, 이 데이터로는 고객님의 Worten 계정에 접속하거나 고객님 명의로 결제할 수 없습니다

Worten은 어떻게 대응했고, 무엇이 아직 알려지지 않았나?

같은 메시지에 따르면 Worten은 사이버 보안 사고 대응 내부 절차를 즉시 가동했고 상황을 통제했다고 밝혔다. ECO와 Pplware에 따르면 회사는 공격의 원인도 바로잡았고, 시스템 접근 보호를 강화했으며, 관할 기관과 긴밀히 협력하고 있다고 한다. 회사는 이번 일을 범죄적 사이버 공격으로 규정하고 고객과 투명하게 소통하고 싶다고 말한다.

Worten은 소수 고객이라고 말하지만, 우리가 읽은 두 출처는 영향을 받은 사람 수를 밝히지 않는다. 이 출처들에서 불분명한 점은 다음과 같다.

• 영향을 받은 고객이 몇 명인지
• 공격자가 시스템에 어떻게 침입했는지
• 공격의 배후가 누구인지
• 어느 기관에 언제 통보했는지

납세번호와 이메일만으로 어떻게 사기가 가능한가?

Worten은 ECO가 인용한 메시지에서 가장 주의할 점은, 믿을 만하게 보이려고 고객의 NIF나 주문을 언급하며 이메일, 문자, 전화로 접근하는 가짜 연락이라고 말한다. 신뢰할 만한 기관을 흉내 내 결제나 자격 증명을 얻어내는 이런 유형의 사기는 피싱(phishing)이라 불리며, 사기범이 실제 데이터를 언급하면 신빙성이 높아진다.

Pplware는 그 논리를 설명한다. NIF나 주문번호를 알면 사기범이 메시지를 더 설득력 있게 만들 수 있지만, 이러한 정보만으로는 연락이 정당하다는 증거가 되지 않는다. 이 사이트는 비밀번호가 보호되더라도 개인 데이터 노출은 받는 연락에 대한 주의를 요구한다고 강조한다.

의심스러운 메시지를 받으면 어떻게 해야 하나?

Pplware는 결제, 자격 증명, 확인 코드를 요구하는 예상치 못한 메시지를 받으면 Worten의 앱이나 공식 웹사이트에서 직접 해당 요청을 확인하라고 권고한다. 또한 그 메시지에 담긴 링크를 피하라고도 권한다. 실제로 다음과 같은 신호는 의심할 만하다.

• 고객이 예상하지 못한 결제 요청
• 자격 증명이나 확인 코드 요구
• 앱이나 공식 웹사이트로 직접 접속하는 대신 메시지 안에 담겨 온 링크
• 믿을 만하게 보이려고 NIF나 주문을 언급하지만 출처를 증명하지는 못하는 메시지

지금까지 확인된 사실은 무엇인가?

두 출처가 공통으로 전하는 내용을 정리하면 다음과 같다. 회사가 직접 밝힌 내용이므로, 독립적인 조사로 확인된 것은 아니다.

• Sonae 그룹 소속 유통업체 Worten이 사이버 공격을 받았다고 확인했다.
• 소수 고객의 NIF, 전화번호, 이메일 주소, 경우에 따라 주문 식별번호가 접근됐다.
• Worten에 따르면 비밀번호와 결제 데이터에는 접근이 없었고, 어떤 정보도 변경되거나 삭제되지 않았다.
• Worten은 사고 대응 절차를 가동했고, 공격의 원인을 바로잡았으며, 접근 보호를 강화했다고 말한다.
• Worten은 관할 기관과 협력하고 있다고 밝혔다.
• 회사는 NIF나 주문을 언급하는 가짜 이메일, 문자, 전화를 가장 주의하라고 당부한다.

Pplware에 따르면 가짜 연락 가능성에 대한 경고는 사고를 알린 공개 내용에 이미 포함돼 있었다. 따라서 고객 입장에서는 비밀번호가 안전하다는 설명에 안심하기보다, 이름이나 주문 정보를 아는 듯한 낯선 연락이 오면 일단 의심하고 앱이나 공식 웹사이트에서 직접 확인하는 편이 안전하다. 다만 이는 출처가 전하는 권고를 정리한 것이며, 실제로 사기 시도가 있었는지는 두 출처 어디에도 나와 있지 않다.

기업에는 무엇이 달라지나?

이번 사례는 납세번호, 전화번호, 이메일처럼 위험이 낮다고 여겨지는 데이터도 비밀번호와 카드가 멀쩡하더라도 그럴듯한 사기를 부추기기에 충분하다는 점을 보여준다. 이런 고객 데이터를 보유한 기업은 어떤 정보를 얼마나 오래 보관하는지 재검토해야 한다. 보관하지 않은 정보는 노출될 수 없기 때문이다.

또한 Worten이 그렇게 했다고 말하듯, 필요해지기 전에 사고 대응 절차를 준비하고, 어떤 데이터가 영향을 받았고 어떤 조치를 취해야 하는지를 정확히 알리며 고객과 신속하고 구체적으로 소통해야 한다. 일반적으로 일반 개인정보보호법(GDPR)은 개인 데이터 침해를 감독 기관(포르투갈에서는 CNPD)에 원칙적으로 72시간 이내에 통지하도록 규정한다. 우리가 읽은 출처는 Worten이 이를 했는지, 언제 했는지 밝히지 않는다.