Ciberataque à Worten: NIF, email e telefone de clientes expostos

A Worten, retalhista do grupo Sonae, confirmou ter sido alvo de um ataque informático que permitiu o acesso não autorizado a dados pessoais de um grupo reduzido de clientes. A empresa revelou a intrusão na quarta-feira, 11 de novembro de 2026, segundo o Pplware, e detalhou os dados afetados na quinta-feira, 12 de novembro, numa mensagem enviada aos clientes, segundo o ECO.

Que dados foram acedidos no ciberataque à Worten?

Segundo a mensagem da Worten citada pelo ECO, foram afetados quatro tipos de informação. O NIF é o número de identificação fiscal português, associado a cada contribuinte.

• NIF (número de identificação fiscal);
• contacto telefónico;
• endereço de email;
• em alguns casos, o número de identificação de encomendas efetuadas.

A empresa garante, segundo o ECO, que nenhuma informação foi alterada ou apagada e que não foram acedidos dados de pagamento, como cartões bancários, nem palavras-passe ou outras credenciais de acesso à conta. O Pplware relata a mesma garantia: nem palavras-passe nem dados de pagamento foram comprometidos.

na medida em que não foram acedidas palavras-passe, estes dados não permitem aceder à sua conta Worten nem fazer pagamentos em seu nome

Como reagiu a Worten e o que ainda não se sabe?

Segundo a mesma mensagem, a Worten afirma que ativou de imediato o protocolo interno de resposta a incidentes de cibersegurança e que conteve a situação. Diz também ter corrigido a origem do ataque, reforçado a proteção dos acessos aos seus sistemas e estar a trabalhar em estreita articulação com as entidades competentes, segundo o ECO e o Pplware. A empresa descreve o episódio como um ataque informático criminoso e afirma querer uma comunicação transparente com os clientes.

A Worten fala num grupo reduzido de clientes, mas as duas fontes lidas não indicam o número de pessoas afetadas. Ficam por esclarecer, nessas fontes:

• quantos clientes foram afetados;
• como os atacantes entraram nos sistemas;
• quem está por trás do ataque;
• que entidades foram notificadas e quando.

Porque é que um NIF e um email bastam para uma burla?

A Worten afirma, na mensagem citada pelo ECO, que o principal cuidado a ter é com eventuais contactos falsos, por email, SMS ou telefone, de alguém que mencione o NIF ou uma encomenda do cliente para parecer de confiança. Este tipo de burla, conhecido como phishing quando imita uma entidade de confiança para obter pagamentos ou credenciais, ganha credibilidade quando o burlão cita dados verdadeiros.

O Pplware explica a lógica: conhecer um NIF ou um número de encomenda pode ajudar um burlão a tornar uma mensagem mais convincente, mas esses elementos, por si só, não provam que um contacto é legítimo. Mesmo com as palavras-passe protegidas, sublinha o site, a exposição de dados pessoais exige atenção aos contactos recebidos.

O que fazer se receber uma mensagem suspeita?

O Pplware recomenda que, perante uma mensagem inesperada a pedir pagamentos, credenciais ou códigos de confirmação, o cliente confirme o pedido diretamente na aplicação ou no site oficial da Worten. Recomenda ainda evitar os links enviados nessa mensagem. Na prática, estes sinais merecem desconfiança:

• um pedido de pagamento que o cliente não esperava;
• um pedido de credenciais ou de códigos de confirmação;
• um link enviado na própria mensagem, em vez de um acesso direto à aplicação ou ao site oficial;
• uma mensagem que cita o NIF ou uma encomenda para parecer de confiança, sem que isso prove a sua origem.

O que muda para as empresas portuguesas?

Este caso mostra que dados vistos como de baixo risco, como um NIF, um telefone ou um email, bastam para alimentar burlas credíveis, mesmo quando palavras-passe e cartões ficam intactos. Para uma empresa portuguesa que guarde estes dados de clientes, isso obriga a rever que informação conserva e durante quanto tempo, porque o que não é guardado não pode ser exposto.

Obriga também a preparar o protocolo de resposta a incidentes antes de ser preciso, como a Worten diz ter feito, e a comunicar com os clientes de forma rápida e concreta, indicando exatamente que dados foram afetados e que cuidados tomar. Em termos gerais, o Regulamento Geral sobre a Proteção de Dados (RGPD) prevê que as violações de dados pessoais sejam notificadas à autoridade de controlo, em Portugal a CNPD, em regra no prazo de 72 horas. As fontes lidas não dizem se nem quando a Worten o fez.