A filtragem de dados sofrida pela TuLotero colocou o foco sobre um tipo de informação particularmente delicada. Não se trata apenas de nomes ou endereços de e-mail: os atacantes conseguiram acessar imagens de documentos de identidade e fotografias faciais utilizadas para credenciar que o usuário era realmente quem dizia ser.
O ataque ocorreu entre 13 e 15 de julho de 2026 e afetou aproximadamente 2% dos usuários da plataforma, o que representa cerca de 100.000 pessoas. A brecha foi detectada e fechada e a companhia notificou o incidente às autoridades e comunicou individualmente por e-mail o que aconteceu aos usuários afetados.
A boa notícia é que, segundo a informação comunicada pela companhia, não foram comprometidos dados bancários, meios de pagamento nem senhas. No entanto, dispor de uma imagem do DNI e de uma fotografia facial pode facilitar tentativas posteriores de usurpação, pelo que os afetados devem prestar especial atenção a comunicações e operações suspeitas.
Que dados foram roubados no hackeamento da TuLotero
Os atacantes acessaram o sistema utilizado para a verificação de identidade dos usuários da TuLotero. Entre as informações comprometidas encontram-se fotografias do DNI pelo anverso e reverso e os selfies utilizados durante esse processo.
O alcance do incidente foi situado em aproximadamente 2% dos usuários, cerca de 100.000 pessoas. Não significa, portanto, que todas as pessoas que tenham baixado ou utilizado a TuLotero tenham necessariamente seus documentos afetados por essa brecha.
A companhia comunicou individualmente o incidente às pessoas afetadas. Por isso, o primeiro passo para um usuário preocupado com o hackeamento da TuLotero é verificar se recebeu a comunicação correspondente e assegurar-se de que a mensagem realmente procede da plataforma.
O que fazer se a TuLotero te avisou que seu DNI está afetado
Se você recebeu a comunicação, convém conservar o e-mail enviado pela TuLotero e qualquer informação relacionada com a brecha. Essa documentação pode ser útil posteriormente se aparecerem indícios de que alguém está tentando utilizar os dados comprometidos.
A partir de agora resulta especialmente importante vigiar qualquer comunicação inesperada. Correios eletrônicos, SMS ou chamadas que façam referência precisamente ao hackeamento podem tentar aproveitar a preocupação dos afetados para conseguir senhas, códigos de verificação, dados bancários ou outra informação adicional.
INCIBE recomenda, diante de situações em que se comprometeu uma imagem do DNI, recolher e conservar as evidências, verificar periodicamente se os dados pessoais estão sendo utilizados ou publicados sem autorização e agir diante de qualquer indício de fraude.
O que podem fazer com uma foto do seu DNI e um selfie
Uma imagem do DNI contém informação que pode ser utilizada em tentativas de usurpação de identidade. INCIBE explica que esse tipo de usurpação consiste em que uma pessoa se faça passar por outra com o objetivo de obter algum benefício, enganar terceiros ou cometer ações fraudulentas em seu nome.
A combinação de um documento de identidade e uma fotografia facial merece atenção especial porque muitos serviços digitais utilizam precisamente diferentes mecanismos de identificação para verificar quem está realizando uma operação. Isso não significa que dispor do DNI e do selfie permita automaticamente abrir uma conta bancária ou conseguir um empréstimo, já que cada entidade utiliza seus próprios controles.
O risco é que os arquivos possam ser empregados como parte de tentativas de fraude posteriores, combinarem-se com informações obtidas de outras fontes ou serem utilizados para tornar mais críveis determinadas usurpações. Por isso, a vigilância não deve se limitar apenas aos dias imediatamente posteriores ao ciberataque.
Cuidado com os correios e SMS que utilizem o hackeamento como desculpa
Uma consequência habitual das filtragens de informação é que os criminosos tentem obter mais dados por meio de phishing, smishing ou chamadas fraudulentas. Uma mensagem que conheça alguns dados reais da vítima pode resultar muito mais convincente.
INCIBE alerta habitualmente sobre campanhas que usurpam organizações conhecidas e conduzem a páginas falsas para obter informação pessoal, bancária ou credenciais. Entre os sinais de alerta aparecem remetentes que não correspondem com a entidade real, links para domínios distintos do oficial e mensagens que tentam gerar urgência.
Por isso, se depois do hackeamento chegar uma mensagem que solicita reenviar o DNI, realizar uma nova verificação, introduzir uma senha ou fornecer um código recebido por SMS, não deve ser fornecida essa informação sem verificar previamente e por canais confiáveis quem está realizando a solicitação.
Como saber se alguém está utilizando seu DNI
Uma das dificuldades de uma filtragem de identidade é que o afetado pode não descobrir imediatamente um possível uso fraudulento. Por isso, é conveniente prestar atenção a comunicações de empresas com as quais nunca se contratou, solicitações de pagamento desconhecidas ou avisos relacionados a operações que o usuário não reconhece.
INCIBE recomenda praticar periodicamente o denominado egosurfing, ou seja, realizar buscas sobre si mesmo para verificar que informação pessoal aparece publicada na Internet. Também aconselha conservar evidências quando se suspeita que os dados foram utilizados fraudulentamente.
Outro sinal de alerta pode ser receber comunicações sobre serviços, contratos ou procedimentos que nunca foram solicitados. Nesse caso, não convém ignorá-los: é preciso contatar diretamente a entidade utilizando seus canais oficiais e explicar que pode existir uma usurpação.
O que fazer se utilizam seu DNI para usurpar você
Se aparecerem provas de uma usurpação, é fundamental reunir todas as evidências possíveis: mensagens recebidas, e-mails, capturas de tela, contratos desconhecidos, números de telefone e qualquer outra informação que possa creditar o que ocorreu.
INCIBE recomenda apresentar denúncia às Forças e Corpos de Segurança do Estado quando ocorre uma usurpação e conservar as provas disponíveis. Em casos em que foi entregue fraudulentamente uma imagem do DNI, o organismo também aconselha denunciar para poder abordar a situação do documento comprometido.
Se a fraude tiver também consequências bancárias, o afetado deve comunicar-se imediatamente com sua entidade financeira. A rapidez é especialmente importante se aparecerem cobranças, transferências ou outras operações que não reconhece.
É necessário renovar o DNI por causa do hackeamento de TuLotero?
Não deve ser afirmado que todos os afetados pela filtragem tenham que renovar automaticamente seu DNI. A existência de uma cópia comprometida do documento e a necessidade de agir sobre o DNI físico são questões que devem ser analisadas conforme as circunstâncias.
INCIBE sim recomenda denunciar e abordar a renovação do documento em situações em que uma pessoa facilitou uma imagem do seu DNI a cibercriminosos dentro de uma fraude. No caso de TuLotero, no entanto, os usuários entregaram legitimamente sua documentação à plataforma e esta foi posteriormente comprometida, por isso não convém extrapolar automaticamente essa recomendação para as aproximadamente 100.000 pessoas afetadas.
O importante inicialmente é conservar o aviso da brecha e vigiar possíveis usos indevidos. Se aparecer uma usurpação ou existirem dúvidas sobre como agir com o documento comprometido, o afetado pode buscar aconselhamento específico e denunciar qualquer utilização fraudulenta.
É necessário mudar as senhas depois do hackeamento?
TuLotero apontou que as senhas não ficaram comprometidas neste incidente, assim como os dados bancários e os meios de pagamento. Portanto, não deve ser transmitida a ideia de que os atacantes dispõem necessariamente das chaves de acesso dos usuários.
Isso não elimina as medidas gerais de segurança. Utilizar senhas diferentes para cada serviço e ativar um segundo fator de autenticação quando disponível reduz as consequências se as credenciais de qualquer plataforma ficarem expostas em outro incidente.
Acima de tudo, os afetados devem desconfiar de qualquer comunicação que utilize o hackeamento de TuLotero como argumento para pedir uma senha ou um código de segurança. A filtragem pode se tornar precisamente o pretexto para tentar conseguir os dados que os atacantes não obtiveram inicialmente.
Podem pedir um empréstimo utilizando seu DNI e seu selfie?
Uma das principais preocupações após a divulgação da filtragem é se alguém poderia utilizar esses arquivos para solicitar um empréstimo ou contratar um serviço em nome da vítima.
O risco de usurpação existe, mas dispor de uma fotografia do DNI e de um selfie não garante que um criminoso possa superar automaticamente os controles de uma entidade financeira. Os processos de identificação variam e podem incorporar verificações adicionais.
O que está acreditado é que os cibercriminosos utilizam informações pessoais para tentar fraudes e usurpações. INCIBE coleta casos de empréstimos fraudulentos e explica que a usurpação pode ser utilizada para cometer ações ilegais em nome de outra pessoa.
Os afetados devem manter a vigilância embora não haja fraude agora
Até o momento das informações publicadas sobre o incidente não constava um uso fraudulento generalizado dos dados subtraídos, mas isso não permite descartar tentativas posteriores.
Os dados de identidade não funcionam como uma senha que pode simplesmente ser trocada toda vez que existe uma filtragem. Nome, fotografia, data de nascimento e outras informações contidas em um documento podem manter sua utilidade para determinados tentativas de fraude por mais tempo.
Por isso, o principal conselho após o hackeamento do TuLotero é manter uma vigilância reforçada, desconfiar de comunicações inesperadas e reagir rapidamente se aparecer qualquer operação ou contrato desconhecido. Ter recebido o aviso não significa que a identidade tenha sido usurpada, mas sim justifica prestar mais atenção a qualquer atividade realizada em nome do afetado.