Lotería de Japón: hackean 4.436 cuentas en su web oficial

¿Cómo fue el hackeo de la web de la lotería?

Un comunicado del 11 de noviembre apuntaba a un ataque «de lista», o credential stuffing. Los atacantes prueban en un sitio nuevo pares de correo y contraseña filtrados de otros servicios, apostando a que la gente los repite. Según las autoridades, no hay rastro de intrusión en los servidores ni en las bases de datos del sitio, ni se ha confirmado ninguna filtración de datos de socios.

¿Qué datos se pudieron ver?

Quien entró pudo ver nombre, fecha de nacimiento, sexo, dirección, teléfono y correo electrónico. También los datos de la cuenta para cobrar premios: nombre del banco, los primeros cuatro dígitos del número de cuenta y el titular. Además, los últimos cuatro dígitos de la tarjeta de crédito, el historial de compras (tipo de sorteo, importe, si hubo premio) y la foto de perfil, si se había subido.

Hasta ahora no se han confirmado compras de billetes desde cuentas secuestradas ni premios desviados cambiando los datos bancarios.

¿Qué deben hacer los usuarios?

Se pide restablecer la contraseña, revisar los datos registrados y desconfiar de correos y webs sospechosos. Quien use el mismo ID y contraseña en otros sitios debe cambiarlos también. Los afectados reciben un aviso individual por correo y se ha abierto un servicio de consultas.