El caso del ciberataque sufrido por TuLotero da un nuevo giro. Apenas un mes después de que la plataforma de lotería online comunicara que un acceso no autorizado había dejado expuestas fotografías de documentos de identidad y selfies de sus usuarios, el supuesto autor del ataque asegura tener en su poder todo el repositorio de verificación de identidad –conocido como KYC– y lo ha puesto a la venta en un foro especializado en ciberdelincuencia.

El atacante se jacta de haber conseguido imágenes de documentos de identidad, selfies de verificación y material procedente del sistema KYC de TuLotero. No hay evidencias de que se hayan comprometido contraseñas, datos bancarios o medios de pago.  

Por ahora la información no ha podido ser verificada de manera independiente, pero las cifras y el contenido encajan con la naturaleza de los datos que TuLotero reconoció que habían sido comprometidos en el incidente de julio.

Un rescate frustrado

El autor de la publicación sostiene que fue él mismo quien llevó a cabo el ataque y que posteriormente intentó obtener una recompensa por informar de la vulnerabilidad.

Según su versión, TuLotero «no quiso colaborar con él para mantener el incidente bajo control» y proteger a sus clientes. Tras no alcanzar ese supuesto acuerdo, afirma haber optado por una segunda vía: poner los datos robados a la venta.

El pirata informático no ha proporcionado detalles sobre el precio, aunque invita a los interesados a comunicarse con él por Telegram para escuchar ofertas. 

Asimismo, el hacker revela que para llevar a cabo la intrusión y posterior extfiltrado de datos se sirvió de una herramienta denominada TerciosRAT.

TuLotero informó en agosto de que el acceso no autorizado se produjo entre el 13 y el 15 de julio, afectó al servicio utilizado para la identificación y alcanzó aproximadamente al 2% de sus usuarios. La OCU calculó que esto supondría alrededor de 100.000 personas.

La compañía explicó que los archivos afectados correspondían a imágenes del anverso y reverso del DNI y selfies empleados durante la verificación de identidad. También aseguró que había detectado el acceso el 14 de julio, lo había bloqueado definitivamente al día siguiente y había comunicado el incidente a la Agencia Española de Protección de Datos (AEPD) y a las Fuerzas y Cuerpos de Seguridad del Estado.

La OCU ya advertía tras el incidente de julio de que las imágenes del DNI y los selfies podían utilizarse en intentos de suplantación de identidad, fraude y phishing.