Un acceso no autorizado expone la documentación personal de al menos 100.000 usuarios de la aplicación de lotería online más utilizada en España.
Una filtración de datos en la aplicación TuLotero ha encendido las alarmas de miles de ciudadanos en el territorio nacional, perjudicando de forma directa a cerca del 2% de sus abonados. La firma, referente en la comercialización de lotería digital en el país, ha verificado que experimentó una intrusión ilegítima en sus mecanismos de validación de identidad. A pesar de que la herramienta posee clientes en todo el territorio, la repercusión de esta quiebra de seguridad digital incide de manera notable en Andalucía, una región donde la plataforma dispone de una amplia base de compradores que adquieren habitualmente boletos para las loterías públicas.
La incursión de los piratas informáticos aconteció entre las jornadas del 13 y el 15 de julio de 2026. La entidad localizó el comportamiento anómalo el 14 de julio y consiguió neutralizar la intrusión de manera completa en la jornada posterior. Más tarde, el 17 de julio, trasladó la incidencia a la Agencia Española de Protección de Datos (AEPD) e interpuso la pertinente denuncia ante los cuerpos policiales del Estado.
Qué información se ha visto comprometida en esta filtración de datos
Los atacantes informáticos han obtenido archivos de alta confidencialidad que los abonados aportan para dar de alta sus perfiles. Los registros robados engloban:
- Las fotografías del documento nacional de identidad, abarcando tanto el reverso como el anverso.
- Los autorretratos fotográficos o selfies que los abonados se toman con el fin de ratificar su identidad a distancia.
La entidad ha precisado en sus avisos que las claves de acceso, las cuentas bancarias y las tarjetas de pago registradas han quedado a salvo de esta intrusión de seguridad. De acuerdo con la información legal de TuLotero, para corroborar la identidad de los clientes la aplicación puede almacenar la dirección de correo electrónico, el número de teléfono, el nombre completo, el DNI, el día de nacimiento y la autofoto; el código IBAN únicamente se requiere en el momento de retirar fondos.
El riesgo mayor de esta filtración de datos reside en la conjunción del documento de identidad junto con la fotografía del rostro. Mediante estos archivos, los delincuentes están en disposición de burlar los controles de validación digital que solicitan múltiples firmas de créditos o de servicios para dar de alta contratos o productos, suplantando a terceras personas.
Cómo actuar si eres uno de los usuarios afectados por el hackeo
Aquellos clientes que intuyan o dispongan de la certeza de que su información personal ha quedado al descubierto deben adoptar acciones de urgencia para eludir estafas de mayor gravedad. Las pautas sugeridas por los organismos de seguridad tecnológica contemplan diversas actuaciones clave:
- Interponer una denuncia formal ante la Policía Nacional o la Guardia Civil con el fin de documentar la sustracción del DNI y eludir responsabilidades jurídicas en caso de que se formalicen contratos falsos bajo su identidad.
- Guardar de forma segura todos los mensajes remitidos por la aplicación informática y el duplicado de la correspondiente denuncia policial.
- Efectuar rastreos regulares con el nombre propio en los buscadores web para constatar que no se están creando perfiles falsos o empleando la identidad personal de forma ilegítima.
- Revisar periódicamente los datos de la Central de Información de Riesgos del Banco de España (CIRBE) para asegurar que no consten peticiones de financiación o préstamos de dudosa procedencia a su nombre por importes superiores a los 1.000 euros.
- Darse de alta en la plataforma PhishingAlert de la Dirección General de Ordenación del Juego (DGOJ), que reporta cualquier tentativa de registro no consentido en portales de apuestas en internet.
En el supuesto de que quede acreditado que la mercantil no custodió de forma idónea la información personal, cabe la posibilidad de presentar una reclamación ante la AEPD para notificar la brecha de seguridad. Los clientes deben tener presente que cualquier cobro o transacción económica realizada mediante engaño o usurpación de identidad carece de validez y debe reclamarse ante su sucursal bancaria para exigir el correspondiente reembolso.
