Desastre de privacidad: TuLotero ha sido hackeado, y les han robado imágenes de los DNIs de sus clientes

Un ciberataque contra TuLotero ha dejado una gravísima consecuencia: el robo de imágenes de los DNIs de los clientes (anverso y reverso), y también de los selfies de verificación que la plataforma de lotería online pide para comprobar las identidades.

Hace tiempo explicamos que las imágenes del DNI solo se deberían compartir con marcas de agua, para evitar este tipo de problemáticas. Los datos robados ahora podrían utilizarse en estafas muy peligrosas, donde se intente suplantar a la víctima, casi seguro para robarle dinero.

Con estas imágenes, los hackers podrían hacerse pasar por nosotros en diferentes plataformas, como bancos online. Además, los DNIs incluyen nombres, apellidos, fecha de nacimiento y dirección física.

También el número de soporte de esa copia física DNI, un dato al que a veces se recurre como confirmación adicional en gestionas delicadas.

¿Quiénes son los afectado por el hackeo de TuLotero?

Desde TuLotero afirman que solo se han filtrado los datos de quienes hayan recibido un email de advertencia. Por desgracia, no sabemos cuántos afectados hay en concreto. Ni si hay algún medio adicional para comprobarlo, pues algunas de esas cuentas de email podrían no estar ya activas.

TuLotero afirma que los datos de pago (tarjetas bancarias) no se han filtrado, y que no tienen constancias de ataques reales empleando esta información.

El robo de información ocurrió entre el 13 y 15 de julio de 2026, y no se comprometieron la totalidad de sus sistemas. Solo la verificación de identidad, realizada junto a un proveedor externo.

Los siguientes pasos fueron los que marca el Reglamento General de Protección de Datos: comunicar el incidente ante la Agencia Española de Protección de Datos y avisar a los afectados. También presentaron una denuncia policial.

En este caso, no parece que hubiera un chantaje. Lo habitual es que los ciberdelincuentes exijan dinero a las empresas para no liberar la información.

Cuando no lo logran, suelen intentar vender la base de datos al mejor postor en la Dark Web.‎ No nos extrañaría que fuera el destino de las imágenes robadas.

En su momento presentamos TuLotero‎, que fue pionero en España porque permitía participar en los juegos de Apuestas y Loterías del Estado mediante Internet, a través de sus apps o de la página web.

Permite comprar lotería de Navidad, la Bonoloto, la Primitiva, el Euromillones y otros juegos, sirviendo de pasarela online con las administraciones físicas.

Recomendamos extremar precauciones

Si hemos recibido el email, ahora debemos estar más que pendientes de cualquier señal de posible estafa. Si recibimos un email, SMS o mensaje de WhatsApp de cualquier empresa o administración, mejor desconfiar.

Podrían utilizar los datos robados para ganarse nuestra confianza, y conseguir datos adicionales, como contraseñas. Ante la duda, mejor cortar la comunicación, y contactar por otro medio con le entidad, para comprobar si

El robo de los selfies de verificación además señala lo que muchos expertos en derechos digitales ya advertían. El envío de una foto para confirmar la mayoría de edad es demasiado invasivo con la privacidad, y nos pone en peligro.

Alternativas como la próxima versión DNI digital, con validez en Internet, pueden resolver el problema. O empeorarlo, pues no deja de ser información delicada en Internet, que no sabemos si es viable custodiar con la total seguridad que sería necesaria.

En un aspecto tan delicado como el juego online, quizá tenga sentido esta exigencia. O no, porque tampoco podemos considerarlo un servicio necesario como lo sería un banco online. Quienes compraran sus décimos en una administración física no han sufrido el problema.

En resumen, este desastre de TuLotero demuestra que debemos ser extremadamente cautos en Internet, y que el nivel ciberdelincuencia no parece que vaya a dejar de crecer.

Cómo denunciar estafas y engaños por Internet