La filtración de datos sufrida por TuLotero ha puesto en riesgo la información personal de miles de usuarios, entre ella imágenes del DNI y selfies utilizados para verificar la identidad.
Aunque la compañía asegura que las contraseñas, los datos bancarios y los medios de pago almacenados en la plataforma no se han visto afectados, la exposición de documentación identificativa puede abrir la puerta a intentos de suplantación de identidad y nuevos fraudes.
El acceso no autorizado se produjo entre el 13 y el 15 de julio de 2026 y afectó, según la información facilitada, a alrededor del 2% de los usuarios.
La compañía ha comunicado el incidente a la Agencia Española de Protección de Datos y ha comenzado a contactar por correo electrónico con las personas que podrían estar afectadas.
Ante esta situación, la principal recomendación es extremar la vigilancia durante los próximos meses.
DENUNCIAR LA POSIBLE EXPOSICIÓN DEL DNI
Una de las primeras medidas que puede adoptar una persona afectada es presentar una denuncia ante la Policía Nacional o la Guardia Civil, dejando constancia de que las imágenes de su documento de identidad y su fotografía de identificación podrían haber quedado expuestas.
La denuncia permite dejar registrado el incidente y puede resultar especialmente útil si posteriormente aparecen contratos, créditos, cuentas o cualquier otra operación realizada utilizando los datos de la persona afectada.
También es importante conservar el correo recibido de TuLotero y cualquier otra comunicación relacionada con la filtración.
CUIDADO CON LOS MENSAJES QUE PAREZCAN LEGÍTIMOS
Disponer de una copia del DNI y de un selfie puede facilitar que los delincuentes elaboren intentos de fraude mucho más creíbles. No es necesario que contacten inmediatamente después de la filtración: los datos pueden utilizarse semanas o meses más tarde.
Por ello, conviene desconfiar especialmente de llamadas, correos electrónicos y SMS que soliciten información personal, fotografías del DNI, contraseñas, códigos de verificación o datos bancarios.
También hay que prestar atención a comunicaciones relacionadas con servicios, contratos, préstamos o compras que nunca se hayan solicitado. El hecho de que el interlocutor conozca datos reales de la víctima no demuestra que se trate de una comunicación legítima.
VIGILAR POSIBLES OPERACIONES A NUESTRO NOMBRE
Otra de las medidas recomendables es comprobar periódicamente si existen operaciones financieras que la persona no reconoce.
Una de las herramientas disponibles es la CIRBE, del Banco de España, que permite consultar la información sobre préstamos, créditos, avales y otras operaciones de riesgo declaradas a nombre de una persona.
También puede resultar útil buscar periódicamente el nombre y los apellidos en Internet para detectar posibles perfiles, anuncios, cuentas o publicaciones que puedan estar utilizando la identidad de la persona afectada.
¿QUÉ PUEDEN INTENTAR HACER CON UN DNI Y UN SELFIE?
La exposición de ambos elementos puede facilitar intentos de suplantación de identidad. Entre los posibles usos fraudulentos se encuentran la apertura de cuentas, la contratación de servicios o financiación, la realización de compras o la creación de perfiles falsos.
Además, estos datos pueden utilizarse para hacer más convincentes campañas de phishing, SMS fraudulentos o llamadas telefónicas. Los delincuentes pueden combinar la información obtenida en la filtración con otros datos disponibles sobre la víctima para intentar ganarse su confianza.
Por eso, una comunicación que incluya información personal correcta no debe considerarse automáticamente segura.
¿Y SI YA HAN UTILIZADO NUESTRA IDENTIDAD?
Si aparecen operaciones, contratos o servicios que la persona no ha solicitado, conviene actuar cuanto antes, guardar todas las pruebas y comunicar la situación a las entidades implicadas.
También puede presentarse una denuncia aportando la documentación disponible y dejando constancia de que los datos personales habían quedado expuestos en la brecha de seguridad.
En función de las circunstancias, también existe la posibilidad de reclamar ante la Agencia Española de Protección de Datos si se considera que ha podido existir un incumplimiento en materia de protección de datos. Una eventual infracción, no obstante, no implica por sí sola el derecho automático a recibir una indemnización: para ello habría que acreditar los daños y perjuicios ocasionados.
LA FILTRACIÓN NO SIGNIFICA QUE YA EXISTA UN FRAUDE
La compañía asegura que no tiene constancia de que los datos extraídos hayan sido utilizados de forma fraudulenta. Por ello, la exposición de la información no significa necesariamente que la persona vaya a sufrir una suplantación.
Sí implica, sin embargo, que quienes puedan estar afectados deben aumentar las precauciones. La combinación de una copia del DNI y una fotografía de identificación constituye información especialmente sensible para determinados procesos de verificación.
La recomendación, por tanto, es sencilla: guardar toda la documentación relacionada con el incidente, denunciar la posible exposición, vigilar las operaciones y desconfiar de cualquier comunicación inesperada que pida nuevos datos personales o financieros.
Si (
No(
