TuLotero ha subito un attacco informatico che ha esposto i dati personali di circa 100.000 utenti. L’intrusione, avvenuta tra il 13 e il 15 luglio, ha colpito il servizio utilizzato dalla piattaforma per verificare l’identità dei clienti durante la registrazione. Gli aggressori hanno avuto accesso proprio alle informazioni raccolte per accertare che ogni utente fosse chi dichiarava di essere.
Tra i dati coinvolti figurano le immagini del fronte e del retro del DNI, il documento nazionale d’identità spagnolo, e i selfie impiegati nel processo di riconoscimento. La società ha precisato che la violazione non avrebbe invece compromesso password, coordinate bancarie o metodi di pagamento. Resta quindi circoscritto il perimetro tecnico dell’incidente, ma la natura dei file sottratti rende particolarmente delicata la gestione delle conseguenze.
TuLotero ha rilevato l’accesso non autorizzato il 14 luglio e lo ha bloccato il giorno successivo. L’ambiente interessato viene descritto dall’azienda come un sistema isolato rispetto agli altri servizi della piattaforma. Dopo il contenimento, la società ha notificato l’accaduto all’Agenzia spagnola per la protezione dei dati e ha presentato una denuncia alle Forze e ai Corpi di sicurezza dello Stato.
La piattaforma sta inoltre inviando comunicazioni individuali alle persone interessate, con l’obiettivo di chiarire il perimetro della fuga di dati. TuLotero sostiene di non avere, al momento, evidenze di un utilizzo fraudolento delle informazioni esposte. L’assenza di abusi già rilevati non elimina tuttavia il rischio che documenti identificativi e immagini del volto possano essere impiegati in tentativi successivi di impersonificazione o manipolazione delle vittime.
L’Organizzazione dei consumatori e degli utenti, conosciuta come OCU, raccomanda agli utenti coinvolti di conservare la comunicazione ricevuta dalla società. Suggerisce inoltre di effettuare ricerche periodiche del proprio nome online, così da individuare eventuali usi anomali della documentazione. Il monitoraggio personale diventa in questo modo una misura di controllo continuativo, perché l’impiego illecito dei dati potrebbe emergere anche a distanza di tempo.
Tra le verifiche indicate dall’OCU figura la consultazione della Centrale dei rischi della Banca di Spagna. Il controllo può aiutare a individuare aperture di conti o richieste di finanziamento che non siano state effettuate dall’interessato. Il documento d’identità e la fotografia del titolare, infatti, costituiscono un insieme di informazioni utilizzabile per costruire richieste apparentemente credibili a nome di un’altra persona.
L’organizzazione invita anche a prestare la massima attenzione a telefonate, email e SMS nei quali vengano richiesti ulteriori dati personali o bancari. Informazioni già sottratte possono rendere più convincenti messaggi fraudolenti, false offerte di lavoro o contatti costruiti per ottenere credenziali aggiuntive. Tra i precedenti richiamati rientrano le frodi seguite all’attacco contro Booking.com, nelle quali messaggi mirati cercavano di acquisire informazioni finanziarie.
L’incidente mostra una criticità strutturale dei sistemi di verifica dell’identità: le procedure progettate per aumentare la sicurezza richiedono la raccolta di dati difficili da sostituire una volta esposti. Una password può essere cambiata, mentre un documento e un’immagine facciale mantengono valore identificativo nel tempo. Per TuLotero, il contenimento dell’accesso rappresenta quindi soltanto la prima fase; per gli utenti coinvolti si apre invece un periodo di vigilanza su comunicazioni sospette, rapporti finanziari e possibili usi impropri della propria identità.