Ataque hacker à Worten expõe NIF, e-mail e telefone de clientes

A Worten, varejista do grupo Sonae, confirmou ter sido alvo de um ataque informático que permitiu o acesso não autorizado a dados pessoais de um grupo reduzido de clientes. A empresa revelou a intrusão na quarta-feira, 11 de novembro de 2026, segundo o Pplware, e detalhou os dados afetados na quinta-feira, 12 de novembro, em uma mensagem enviada aos clientes, segundo o ECO.

Quais dados foram acessados no ataque hacker à Worten?

Segundo a mensagem da Worten citada pelo ECO, foram afetados quatro tipos de informação. O NIF é o número de identificação fiscal português, associado a cada contribuinte.

• NIF (número de identificação fiscal);
• contato telefônico;
• endereço de e-mail;
• em alguns casos, o número de identificação de pedidos feitos.

A empresa garante, segundo o ECO, que nenhuma informação foi alterada ou apagada e que não foram acessados dados de pagamento, como cartões bancários, nem senhas ou outras credenciais de acesso à conta. O Pplware relata a mesma garantia: nem senhas nem dados de pagamento foram comprometidos.

na medida em que não foram acedidas palavras-passe, estes dados não permitem aceder à sua conta Worten nem fazer pagamentos em seu nome

Como a Worten reagiu e o que ainda não se sabe?

Segundo a mesma mensagem, a Worten afirma que ativou imediatamente o protocolo interno de resposta a incidentes de cibersegurança e que conteve a situação. Diz também ter corrigido a origem do ataque, reforçado a proteção dos acessos aos seus sistemas e estar trabalhando em estreita articulação com as entidades competentes, segundo o ECO e o Pplware. A empresa descreve o episódio como um ataque informático criminoso e afirma querer uma comunicação transparente com os clientes.

A Worten fala em um grupo reduzido de clientes, mas as duas fontes lidas não indicam o número de pessoas afetadas. Ficam por esclarecer, nessas fontes:

• quantos clientes foram afetados;
• como os atacantes entraram nos sistemas;
• quem está por trás do ataque;
• quais entidades foram notificadas e quando.

Por que um NIF e um e-mail bastam para um golpe?

A Worten afirma, na mensagem citada pelo ECO, que o principal cuidado a ter é com eventuais contatos falsos, por e-mail, SMS ou telefone, de alguém que mencione o NIF ou um pedido do cliente para parecer confiável. Esse tipo de golpe, conhecido como phishing quando imita uma entidade confiável para obter pagamentos ou credenciais, ganha credibilidade quando o golpista cita dados verdadeiros.

O Pplware explica a lógica: conhecer um NIF ou um número de pedido pode ajudar um golpista a tornar uma mensagem mais convincente, mas esses elementos, por si só, não provam que um contato é legítimo. Mesmo com as senhas protegidas, destaca o site, a exposição de dados pessoais exige atenção aos contatos recebidos.

O que fazer ao receber uma mensagem suspeita?

O Pplware recomenda que, diante de uma mensagem inesperada pedindo pagamentos, credenciais ou códigos de confirmação, o cliente confirme o pedido diretamente no aplicativo ou no site oficial da Worten. Recomenda ainda evitar os links enviados nessa mensagem. Na prática, estes sinais merecem desconfiança:

• um pedido de pagamento que o cliente não esperava;
• um pedido de credenciais ou de códigos de confirmação;
• um link enviado na própria mensagem, em vez de um acesso direto ao aplicativo ou ao site oficial;
• uma mensagem que cita o NIF ou um pedido para parecer confiável, sem que isso prove a sua origem.

O que muda para as empresas portuguesas?

Este caso mostra que dados vistos como de baixo risco, como um NIF, um telefone ou um e-mail, bastam para alimentar golpes críveis, mesmo quando senhas e cartões ficam intactos. Para uma empresa portuguesa que guarde esses dados de clientes, isso obriga a rever que informação conserva e por quanto tempo, porque o que não é guardado não pode ser exposto.

Obriga também a preparar o protocolo de resposta a incidentes antes de ser preciso, como a Worten diz ter feito, e a comunicar com os clientes de forma rápida e concreta, indicando exatamente quais dados foram afetados e que cuidados tomar. Em termos gerais, o Regulamento Geral sobre a Proteção de Dados (RGPD) prevê que as violações de dados pessoais sejam notificadas à autoridade de controle, em Portugal a CNPD, em regra no prazo de 72 horas. As fontes lidas não dizem se nem quando a Worten o fez.