TuLotero, una de las principales plataformas españolas para comprar y gestionar lotería a través de Internet, ha confirmado haber sufrido un ciberataque que permitió acceder a información especialmente sensible utilizada durante la verificación de identidad de sus clientes. La filtración no se limita a nombres o direcciones de correo electrónico. La preocupación es tan grande que los atacantes han podido acceder a fotografías del anverso y reverso del DNI y a los selfies empleados para verificar que el documento pertenecía realmente al usuario.
La compañía asegura que la brecha afecta aproximadamente al 2% de sus usuarios. Hackmanac estima que esto podría traducirse en alrededor de 100.000 personas. Esta cifra es una referencia sabiendo que la aplicación de TuLotero acumula más cinco millones de descargas únicamente en la Google Play. También hay que matizar que una descarga no equivale necesariamente a un usuario registrado. Así que 100.000 afectados es una cifra estimada ya que TuLotero no ha querido confirmar una cifra exacta.
Los atacantes tuvieron acceso a los DNI y selfies de verificación de identidad
Según la propia información comunicada por TuLotero, el acceso no autorizado se produjo entre el 13 y el 15 de julio de 2026 y afectó a un servicio aislado empleado específicamente para realizar los procesos de verificación de identidad exigidos por la ley para registrarse en una plataforma de este tipo. La compañía detectó la intrusión el 14 de julio y asegura que el acceso quedó bloqueado definitivamente el día 15.
Los datos comprometidos son precisamente los utilizados en ese proceso: imagen frontal del DNI, imagen posterior y selfie de identificación. Por el contrario, TuLotero asegura que las contraseñas, información bancaria y medios de pago no fueron comprometidos, ya que se encuentran almacenados en sistemas separados. Por ello, la compañía tampoco considera necesario que los usuarios cambien sus contraseñas como consecuencia directa de este incidente.
Tras investigar inicialmente el ataque, TuLotero notificó la brecha a la Agencia Española de Protección de Datos (AEPD) el 17 de julio y presentó una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Posteriormente, una vez identificado qué cuentas habían resultado afectadas, comenzó a enviar correos electrónicos individualizados a los usuarios cuyos documentos fueron expuestos. Según la compañía, quienes no hayan recibido esa comunicación no formarían parte del grupo afectado.
Libre albedrío para la suplantación de identidad gracias a los DNI fotografiados de TuLotero
Aunque quieran minimizar el problema, realmente es preocupante que alguien tenga fotografiado tu DNI por ambas caras, e incluso tengan un selfie tuyo. Un DNI completo acompañado de una fotografía del propietario proporciona a los ciberdelincuentes material que puede utilizarse en intentos de suplantación de identidad, apertura fraudulenta de cuentas, contratación de servicios o solicitudes de financiación en plataformas con procesos de identificación deficientes.
También aumenta considerablemente la credibilidad de futuros ataques de phishing, smishing o ingeniería social. Un atacante que conozca el nombre, los datos presentes en el documento y el hecho de que la víctima utiliza TuLotero puede preparar mensajes mucho más realistas respecto a un correo fraudulento convencional. TuLotero recomienda desconfiar especialmente de llamadas, correos electrónicos o SMS que soliciten información personal, códigos de seguridad o pagos. Y claro, que ahora comiences a vigilar posibles contrataciones o solicitudes de financiación realizadas a nombre del afectado. Así que bueno, si tu información no fue filtrada, considéralo como que te ha tocado la lotería.
La entrada Si te gusta jugar a la lotería tienes un problema: TuLotero sufre hackeo que filtró DNI fotografiados y los selfie de verificación aparece primero en El Chapuzas Informático.
