日本の公式宝くじサイトとモバイルアプリは、11月4日に外部から入手した認証情報を用いたリスト型攻撃（クレデンシャル・スタッフィング）の結果、4436ユーザーのアカウントが乗っ取られたと発表した。

攻撃の検知後、11月5日にサイトとアプリを一時停止し、11月13日にパスワードのリセットを条件にサービスを再開した。

乗っ取られたアカウントのうち4133件で、攻撃者によるパスワード変更も確認されている。