Ciberataque à Worten: especialista alerta para risco de débitos diretos não autorizados e critica falta de aviso claro

Na quarta-feira, a Worten enviou um email a um conjunto de clientes para lhes dizer que tinha sido vítima de um ciberataque. Dois dias depois, o especialista em cibersegurança Nuno Mateus-Coelho, que também é professor universitário, veio dizer que a mensagem ficou aquém do que devia, e que quem a recebeu não a deve arquivar como mais um aviso de rotina.

No email, a empresa reconhece que o ataque permitiu o acesso não autorizado a alguns dados pessoais de um grupo reduzido de clientes. Enumera o que foi comprometido: NIF, contacto telefónico, endereço de email e, em alguns casos, o número de identificação de encomendas feitas. A lista não menciona os números de IBAN.

É aqui que Mateus-Coelho discorda. Para o especialista, trata-se de uma questão complicada, porque, na sua leitura, parte importante dos dados que a empresa perdeu incluía o IBAN de pessoas. Defende por isso que todos os clientes deviam ter recebido um aviso claro, que até agora não existiu: terem cuidado e verificarem, nas semanas seguintes, se foi criado algum débito direto sem autorização.

O aviso, explica, é relevante por causa de um prazo concreto: existem 13 meses para reclamar junto do banco a devolução de dinheiro em operações não autorizadas. Classifica como negligente a decisão da Worten de não pedir aos clientes que verificassem junto dos bancos o surgimento de novos débitos diretos não autorizados, e lembra que foram eles que perderam os dados.

Há um segundo risco, na opinião do especialista. Quem tem estes dados pode montar campanhas de engenharia social muito credíveis. Mateus-Coelho imagina mensagens que dizem corretamente o nome do cliente e a morada, que referem a encomenda A, B ou C, e que juntam tantos pormenores verosímeis que levam as pessoas a clicar. Nesta circunstância, resume, os atacantes têm tudo.

A própria Worten, no email, deixa um alerta na mesma direção: o principal cuidado é com eventuais contactos falsos, por email, SMS ou telefone, de alguém que mencione o nome ou a encomenda do cliente para parecer de confiança. Mateus-Coelho vai mais longe no conselho prático. Os clientes devem ignorar rapidamente qualquer comunicação que pareça vir da Worten ou da sua esfera e procurar confirmá-la através de um canal independente.

Numa nota enviada à agência Lusa, a empresa descreve o episódio como um ato criminoso de acesso não autorizado a alguns dados de clientes e prestadores de serviços. Afirma que, segundo a investigação e a análise forense das equipas especializadas, que ainda decorre, nenhuma informação foi alterada ou apagada, não foram acedidos dados de crédito ou financeiros nem credenciais de acesso, e o funcionamento normal dos sistemas não foi afetado.

A Worten diz ter corrigido a vulnerabilidade explorada e reforçado o controlo de acessos, e que trabalha com o Centro Nacional de Cibersegurança, a Comissão Nacional de Proteção de Dados e a Polícia Judiciária. Garante ter informado diretamente todos os clientes afetados e prometeu apoio e esclarecimentos; o processo de informação aos prestadores de serviços afetados está em curso.

Fica, assim, uma divergência por esclarecer: a empresa diz que não foram acedidos dados financeiros e não lista o IBAN, enquanto o especialista sustenta que o IBAN estava entre os dados perdidos. Enquanto a investigação decorre, quem recebeu o email deve vigiar os débitos na conta e ter presente o prazo de 13 meses para reclamar.