Datová schránka v Gambling with Lives: kybernetický útok na Beacon zasáhl charitu

Kyberzločin neustává u organizací věnovaných podpoře nejzranitelnějších členů společnosti.

Gambling with Lives, charitativní organizace podporující rodiny pozůstalé po sebevraždách souvisejících s hazardními hrami, byla nedávno informována o masivní krádeži dat. Útok nebyl zaměřen na vlastní infrastrukturu charity, ale na jejího softwarového poskytovatele, společnost Beacon. Tato společnost se specializuje na řízení vztahů se zákazníky (CRM) a spravuje data pro obrovské množství kulturních a charitativních institucí.

Zpráva o incidentu se rozšířila 6. srpna, kdy vedoucí organizace prostřednictvím e-mailu varovali ty, kterých se to týká. Je to hořká ironie, že lidé, kteří již byli poznamenáni traumatickými zážitky spojenými s hazardními hrami, se nyní musí obávat také o bezpečnost svých osobních údajů. K incidentu došlo koncem července, ale plný rozsah ohrožených dat se nyní teprve ukazuje. V odvětví, kde jsou diskrétnost a důvěra nejdůležitějšími měnami, takový únik představuje katastrofální narušení důvěry.

Čísla a fakta

Měřítko útoku na Beacon je obrovské. Společnost podporuje více než 1 500 charitativních a kulturních organizací po celé zemi. Gambling with Lives je tak pouze jednou z mnoha postižených entit. Charles Ritchie, předseda správní rady Gambling with Lives, v e-mailu zúčastněným stranám potvrdil, že informace organizace byly v důsledku kybernetického bezpečnostního incidentu kompromitovány. Ačkoli přesný počet dotčených záznamů v Gambling with Lives nebyl explicitně kvantifikován, velikost poskytovatele Beacon jasně ukazuje, že se jedná o systémové selhání. Incident začal koncem července a od té doby způsobil chaos v IT infrastruktuře mnoha charitativních organizací.

"Gambling with Lives bylo sděleno, že její informace byly kompromitovány v důsledku kybernetického bezpečnostního incidentu u jejího externího poskytovatele CRM, společnosti Beacon." - Charles Ritchie, předseda správní rady Gambling with Lives

Kontext

Organizace Gambling with Lives hraje ústřední roli v debatě o přísnějších zákonech o hazardních hrách. Založili ji rodiče, kteří přišli o své děti kvůli sebevraždám souvisejícím s hazardními hrami. Skutečnost, že citlivá data těchto pozůstalých rodin nyní padla do rukou neoprávněných osob, je obzvláště citlivá. Beacon je ve skutečnosti považován za moderní standard pro správu dat v neziskovém sektoru. Takový útok však poukazuje na zranitelnost, která vzniká, když mnoho organizací používá stejného poskytovatele cloudových služeb. IT experti to označují jako klastrové riziko. Pokud padne centrální uzel, je současně zasaženo stovky podřízených organizací.

Proč je to důležité pro německé hráče

Pro německé hráče aktivní v online kasinech s licencí od Gemeinsame Glücksspielbehörde der Länder (GGL) je tento incident naléhavým varováním. V Německu státní smlouva o hazardních hrách 2021 (GlüStV 2021) přísně reguluje, jak musí být data zpracovávána. Centrální monitorovací systém LUGAS ukládá data, aby zajistil dodržování celosměrového limitu vkladů ve výši 1 000 eur měsíčně a aby se zabránilo vícenásobnému hraní. Přísně se kontroluje také dodržování limitu 1 eura na otočení pro virtuální hrací automaty. Pokud však charitativní organizace nebo poradenská centra, která navštěvujete v případě hrozící závislosti, používají nezabezpečený software, ani ta nejlepší regulace GGL nepomůže proti úniku dat u externího poskytovatele. Němečtí hráči by se měli ujistit, že používají pouze portály na oficiálním seznamu povolených poskytovatelů GGL, protože tito poskytovatelé musí prokázat nejvyšší bezpečnostní standardy pro své vlastní IT. Přesto případ Beacon ukazuje, že by se člověk měl vždy ptát na koncepci IT bezpečnosti při poskytování citlivých informací externím poradenským centrům.

Co to znamená pro kasina s licencí GGL

Poskytovatelé s licencí GGL v Německu jsou pod neustálým dohledem. Zatímco nelegální poskytovatelé z Curacaa nebo Malty často nakládají s ochranou dat volně, německí provozovatelé musí prokázat, že jejich CRM systémy a externí poskytovatelé jsou certifikovaní. Incident jako ten u Beacon by vyvolal okamžité hlášení Spolkovému komisaři pro ochranu údajů a GGL v Německu. Kasina musí zajistit, aby se jejich partneři pro správu zákazníků nestali Achillovou patou. Důvěra hráčů je nejvyšší aktivum, zejména pokud jde o blokovací systémy jako OASIS. Bezpečnost datového řetězce je stejně důležitá jako bezpečnost samotné hry. Němečtí poskytovatelé by měli tento incident využít jako příležitost k přezkoumání svých vlastních smluv s třetími stranami z hlediska klauzulí o kybernetické bezpečnosti.