Han hackeado TuLotero, una página web que cuenta con muchos usuarios para jugar a Loterías y Apuestas del Estado. Se ha filtrado el DNI de los usuarios y también los selfis de verificación. Es un problema importante, ya que esto puede afectar a la seguridad y privacidad. Los atacantes pueden tener datos para suplantar la identidad o lanzar ataques más personalizados, de ahí que sea fundamental estar alerta.
Hackean TuLotero
A través de un hilo en ForoCoches, un usuario ha alertado de un e-mail que ha recibido donde hablan de que TuLotero ha sido hackeado y han podido obtener los DNI de los usuarios y los selfis de verificación. En ese mismo hilo, algunos usuarios han indicado que, por el momento, no han recibido ese mismo e-mail. Otros indican que puede ser que no todos hayan sido afectados o que irán mandando el correo de forma progresiva.
En la red social X, el usuario @enrelu ha informado también de que ha recibido la notificación por parte de TuLotero donde indican que ha habido un hackeo, con robo de DNIs y selfis de verificación. Adjunta una captura de pantalla donde aparecen los datos que podrían haber quedado expuestos, que son las imágenes utilizadas para la verificación de identidad (DNI por ambas caras) y el selfie de verificación.
Shodan@shodanhqShodan Membership sale is live until 2026-08-09 00:00 UTC (~48 hours from now): https://t.co/0iqiq2vTpn07 de agosto, 2026 • 02:42
929
55
En ese correo electrónico, desde TuLotero informan de lo que ha ocurrido. Indican que han detectado un acceso no autorizado a un servicio aislado propio de TuLotero que se ha utilizado para la verificación de la identidad de sus usuarios. Para cumplir con el protocolo, aseguran que, nada más detectarlo, han actuado bloqueando el acceso malicioso, han informado a los usuarios y han notificado el incidente a la Agencia Española de Protección de Datos, algo obligatorio en estos casos según la Ley AEPD.
TuLotero confirma el incidente a RedesZone
Desde RedesZone nos hemos puesto en contacto vía telefónica con TuLotero para preguntar sobre este incidente. Tras una primera llamada, en la que no han sabido darnos respuesta y han solicitado nuestro número, nos han llamado desde el departamento correspondiente para confirmar que, efectivamente, hace unos días han sufrido un hackeo y se han filtrado los DNI y las imágenes de los selfis de verificación. Aseguran que no han robado datos bancarios, ni contraseñas u otros datos sensibles similares, no obstante, han robado lo más importante que no podemos cambiar: nuestro DNI y el selfie de verificación. Nos han indicado que ya está puesta la denuncia ante la Policía Nacional y están trabajando en esclarecer qué ha ocurrido.
El sistema afectado era un servicio interno y aislado de TuLotero. No hay ningún proveedor externo involucrado, por lo que no existe ningún servicio de terceros de verificación (KYC) comprometido que pueda afectar a otras plataformas. La mención a un «tercero ajeno a la empresa» en nuestra comunicación se refiere al autor del ataque, no a ningún proveedor.
Todos los afectados han sido notificados individualmente por correo electrónico, proceso que concluyó el domingo 9 de agosto. Por tanto, quien no haya recibido dicha comunicación no se encuentra entre los afectados.
Posible suplantación de identidad
El riesgo principal es que los atacantes puedan suplantar la identidad de los usuarios. El hecho de obtener las imágenes del DNI, por ejemplo, supone que podrían registrarse en otras páginas o llegar a usar esos datos para obtener más información personal mediante ataques de phishing. Los datos robados son muy graves, porque los ciberdelincuentes podrían hacerse pasar por nosotros, al tener tanto los DNI como también la verificación adicional mediante un selfie, hoy en día hay una gran cantidad de servicios online como exchanges de criptomonedas e incluso neobancos que también hacen este tipo de verificaciones.
Como precaución, en caso de que seas usuario de TuLotero y hayas podido ser víctima de esta filtración, es importante que estés alerta ante cualquier SMS o e-mail que recibas los próximos días y sea sospechoso. Nunca debes dar claves de acceso, ni información sensible, ni descargar archivos que lleguen por estos medios. Podrían incluso hacerse pasar por TuLotero y solicitar ciertos datos o decirte que lleves a cabo alguna acción por seguridad.
Aunque en la llamada telefónica que tuvimos con TuLotero nos han indicado que ya pusieron la denuncia correspondiente en la Policía Nacional, y que no haría falta hacer nada más como usuarios, nuestra recomendación es que pongáis una denuncia indicando este incidente, para que quede constancia de que os han robado el DNI y selfie de verificación. No importa que ellos hayan ya denunciado y proporcionado un listado de DNI robados, lo mejor que puedes hacer es poner tú mismo la denuncia. En el hipotético caso de que el agente de Policía Nacional os indique que no es necesario, insistid y ponedla. Esto tiene como objetivo protegeros judicialmente frente a una posible suplantación de identidad, donde los ciberdelincuentes hagan estafas en tu nombre.