La aplicación TuLotero, usada para comprar décimos de Loterías y Apuestas del Estado, ha sufrido un hackeo que ha expuesto datos personales sensibles: DNI y selfies de verificación de identidad de sus usuarios. La brecha afecta al 2% de los usuarios de la plataforma, lo que podría traducirse en un mínimo de 100.000 personas, dado que la app acumula más de cinco millones de descargas en Android. TuLotero ya ha notificado el incidente a la Agencia Española de Protección de Datos y ha empezado a contactar con los afectados por correo electrónico.
El acceso no autorizado se produjo a través de un servicio aislado destinado a la verificación de identidad, que la compañía ya ha bloqueado. TuLotero ha confirmado que las contraseñas, datos bancarios y medios de pago almacenados no se han visto comprometidos. No obstante, la empresa recomienda extremar la precaución ante posibles intentos de fraude.
Entre los principales riesgos destaca la suplantación de identidad, ya que los atacantes podrían usar los DNI y selfies robados como prueba de identidad en trámites o servicios. También preocupa el uso de esos datos para ataques de phishing creíbles —suplantando a TuLotero, bancos u otros servicios— y para fraudes a medio y largo plazo, como altas no autorizadas en servicios o movimientos financieros.