Cyberaanval op Worten: belastingnummer, e-mail en telefoon bloot

Worten, een retailer van de Sonae-groep, heeft bevestigd het doelwit te zijn geweest van een cyberaanval waarbij onbevoegd toegang werd verkregen tot persoonsgegevens van een kleine groep klanten. Het bedrijf maakte de inbraak bekend op woensdag 11 november 2026, volgens Pplware, en lichtte de getroffen gegevens toe op donderdag 12 november in een bericht aan klanten, volgens ECO.

Welke gegevens kwamen in handen van de aanvallers bij Worten?

Volgens het door ECO geciteerde bericht van Worten waren vier soorten informatie getroffen. Het NIF is het Portugese fiscale identificatienummer, gekoppeld aan elke belastingplichtige.

• NIF (fiscaal identificatienummer);
• telefoonnummer;
• e-mailadres;
• in sommige gevallen het identificatienummer van geplaatste bestellingen.

Het bedrijf verzekert, volgens ECO, dat er geen informatie is gewijzigd of gewist en dat er geen toegang is geweest tot betaalgegevens, zoals bankpassen, noch tot wachtwoorden of andere inloggegevens van het account. Pplware meldt dezelfde verzekering: noch wachtwoorden noch betaalgegevens zijn gecompromitteerd.

aangezien er geen toegang is geweest tot wachtwoorden, geven deze gegevens geen toegang tot uw Worten-account en kunnen er geen betalingen namens u mee worden gedaan

Hoe reageerde Worten en wat is nog onbekend?

Volgens hetzelfde bericht zegt Worten onmiddellijk het interne protocol voor reactie op cyberbeveiligingsincidenten te hebben geactiveerd en de situatie te hebben ingedamd. Het zegt ook de oorzaak van de aanval te hebben verholpen, de beveiliging van de toegang tot zijn systemen te hebben versterkt en nauw samen te werken met de bevoegde instanties, volgens ECO en Pplware. Het bedrijf beschrijft het voorval als een criminele cyberaanval en zegt transparant met zijn klanten te willen communiceren.

Worten spreekt van een kleine groep klanten, maar de twee gelezen bronnen noemen niet het aantal getroffen personen. Onduidelijk blijft in die bronnen:

• hoeveel klanten zijn getroffen;
• hoe de aanvallers de systemen binnenkwamen;
• wie achter de aanval zit;
• welke instanties zijn ingelicht, en wanneer.

Waarom volstaan een belastingnummer en een e-mailadres voor oplichting?

Worten stelt in het door ECO geciteerde bericht dat de belangrijkste voorzorg betrekking heeft op mogelijke valse contactpogingen, per e-mail, sms of telefoon, van iemand die het NIF of een bestelling van de klant noemt om betrouwbaar over te komen. Dit soort oplichting, phishing genoemd wanneer het een betrouwbare partij nabootst om betalingen of inloggegevens te bemachtigen, wordt geloofwaardiger wanneer de oplichter echte gegevens noemt.

Pplware legt de logica uit: wie een NIF of een bestelnummer kent, kan een bericht overtuigender maken, maar die gegevens bewijzen op zichzelf niet dat een contact echt is. Ook als de wachtwoorden beschermd blijven, benadrukt de site, vraagt de blootstelling van persoonsgegevens aandacht voor binnenkomende contacten.

Wat te doen bij een verdacht bericht?

Pplware raadt aan om bij een onverwacht bericht dat om betalingen, inloggegevens of bevestigingscodes vraagt, het verzoek rechtstreeks in de app of op de officiële website van Worten te controleren. Het raadt ook aan de in dat bericht verstuurde links te vermijden. In de praktijk verdienen deze signalen wantrouwen:

• een betalingsverzoek dat de klant niet verwachtte;
• een verzoek om inloggegevens of bevestigingscodes;
• een link in het bericht zelf, in plaats van rechtstreekse toegang via de app of de officiële website;
• een bericht dat het NIF of een bestelling noemt om betrouwbaar over te komen, zonder dat dit de herkomst bewijst.

Wat verandert dit voor bedrijven?

Deze zaak toont dat gegevens die als laagrisico gelden, zoals een belastingnummer, een telefoonnummer of een e-mailadres, volstaan om geloofwaardige oplichting te voeden, zelfs als wachtwoorden en kaarten onaangeroerd blijven. Voor een bedrijf dat dit soort klantgegevens bewaart, betekent dat nagaan welke informatie het bewaart en hoelang, want wat niet wordt opgeslagen, kan niet worden blootgelegd.

Het betekent ook het protocol voor incidentrespons voorbereiden voordat het nodig is, zoals Worten zegt te hebben gedaan, en snel en concreet met klanten communiceren, met precieze vermelding van welke gegevens zijn getroffen en welke voorzorgen te nemen. In algemene termen bepaalt de Algemene Verordening Gegevensbescherming (AVG) dat inbreuken op persoonsgegevens worden gemeld aan de toezichthoudende autoriteit, in Portugal de CNPD, in de regel binnen 72 uur. De gelezen bronnen zeggen niet of en wanneer Worten dat heeft gedaan.