Verificación de identidad en casinos online: qué hacen con tu DNI
Una filtración en TuLotero expuso imágenes de DNI y selfis de sus usuarios, el mismo tipo de archivo que piden los casinos online para verificar la identidad. Si quedan expuestos después de almacenarse, pueden facilitar fraudes fuera del juego.
Una brecha en TuLotero dejó expuestos DNI y selfis
Los casinos con licencia deben conservar los documentos de identidad durante diez años.
TuLotero confirmó el 7 de agosto un acceso no autorizado a su servicio aislado de verificación. La intrusión ocurrió entre el 13 y el 15 de julio, afectó al 2% de los usuarios y expuso ambas caras del DNI y el selfi de identificación.
La aplicación, que permite comprar lotería oficial desde el móvil, bloqueó el acceso, avisó a la Agencia Española de Protección de Datos (AEPD) y denunció ante la Policía Nacional. Según la empresa, no se vieron afectadas las contraseñas, los datos bancarios ni los medios de pago.
Quién conserva los documentos y durante cuánto tiempo
TuLotero no es un casino online, pero el juego regulado exige identificar al usuario. Los operadores con licencia deben comprobar su identidad y edad. El proceso parte del DNI o NIE y, según el sistema, puede añadir fotografías, un selfi o una prueba de vida.
La DGOJ contrasta los datos, pero la revisión documental puede recaer en el operador o un proveedor. Las fotografías no se envían necesariamente a la Administración. La política de privacidad debe aclarar quién las trata, para qué se utilizan y si intervienen otras empresas.
Cerrar una cuenta tampoco supone su eliminación inmediata. Las comprobaciones se conservan mientras el registro siga activo. Además, los casinos deben guardar los documentos identificativos durante diez años desde el final de la relación, si están sujetos a la normativa contra el blanqueo.
El riesgo real aparece fuera de la cuenta de juego
Un DNI y un selfi no permiten, por sí solos, retirar el saldo de un casino. El principal problema es que alguien intente utilizar ese material para abrir una cuenta en un neobanco, solicitar financiación, registrarse en un exchange de criptomonedas o crear otro perfil de juego.
Estos servicios suelen añadir pruebas de vida, comprobaciones del dispositivo o revisiones manuales. Las barreras dificultan la suplantación, pero no impiden que los documentos robados se empleen para intentarlo.
La información también permite preparar mensajes de phishing más convincentes. Un correo o SMS sobre un supuesto bloqueo o una devolución puede parecer legítimo si incluye datos reales. Su objetivo será conseguir las claves, la tarjeta o los códigos de confirmación que no aparecieron en la filtración.
Qué hacer después de recibir el aviso
El primer paso es guardar la notificación de la empresa y cualquier mensaje relacionado. También conviene presentar una denuncia individual, aunque la plataforma ya haya denunciado el ataque. Su denuncia documenta el acceso a los sistemas; la del usuario vincula su identidad con un posible fraude posterior.
Durante los meses siguientes hay que revisar movimientos, nuevas altas y avisos en bancos, plataformas de juego, servicios financieros y exchanges. Activar el doble factor y las notificaciones facilita la detección de operaciones extrañas. Ante un préstamo desconocido, la CIRBE del Banco de España permite consultar los riesgos declarados por las entidades.
La DGOJ dispone de PhishingAlert. El servicio avisa cuando un operador adherido trata de verificar una cuenta nueva con los datos de una persona inscrita. No bloquea el registro ni abarca todas las plataformas, pero puede ofrecer una alerta temprana.
Si no se filtraron contraseñas o medios de pago, no es necesario cancelar las tarjetas ni cambiar todas las claves. Sí conviene desconfiar de cualquier comunicación inesperada, evitar sus enlaces y entrar en cada servicio desde su aplicación o dirección oficial.
La credencial digital evitará entregar una copia completa
La verificación de edad en España avanza hacia una credencial digital que permite demostrar que el usuario supera los 18 años sin compartir la fotografía del DNI ni el resto de sus datos personales.
Esta fórmula no sustituye toda la identificación necesaria para abrir una cuenta de juego. Su ventaja es reducir las ocasiones en las que circula y se almacena una copia completa del documento. Menos archivos repartidos entre distintos servicios también significa una menor exposición si vuelve a producirse una brecha.
Salones de juego cerca de colegios: el vacío legal en Canarias
La autoexclusión del juego online casi se triplica desde 2020
El Supremo decidirá si los ayuntamientos limitan casas de apuestas
¿Qué opinas? ¡Únete a la conversación!