Nevada zpřísňuje pravidla: Kasina musí kybernetické útoky hlásit do 24 hodin

Svět hazardních her v Las Vegas je pod neustálým digitálním obléháním. Hackeři se stále častěji zaměřují na obrovské množství dat a finančních toků spravovaných hlavními provozovateli resortů. K boji proti této vyvíjející se hrozbě zavedla Nevadská herní komise významné změny ve svých požadavcích na hlášení. Okamžitě platí přísná 24hodinová lhůta, během níž musí kasino informovat úřady o úspěšném narušení. Dříve měly společnosti na dodržení lhůty tři celé dny, což se v praxi ukázalo jako příliš pomalé.

Regulátoři reagují na bezprecedentní vlnu kybernetických útoků, která v roce 2023 otřásla americkým kapitálem hazardních her. Konkrétně incidenty v Caesars Entertainment a MGM Resorts International poukázaly na zranitelnost tohoto odvětví. Zatímco Caesars údajně zaplatilo 15 milionů dolarů jako výkupné za ochranu zákaznických dat, MGM odmítlo platit a čelilo masivním provozním narušením s náklady přesahujícími 100 milionů dolarů. Tyto částky přitahují zločince po celém světě, kteří nyní stále častěji využívají umělou inteligenci k obcházení bezpečnostních bariér.

Čísla a fakta

Hrozba je reálná i měřitelná. Společnost Crowd Strike předpovídá pro letošní rok 89% nárůst útočníků využívajících umělou inteligenci k útokům. Kasina současně modernizují své technologie, aby mohla bojovat stejnými nástroji. Nedávné měsíce však ukazují, že samotná technická obrana nestačí. Wynn Resorts se na začátku roku 2025 stal obětí skupiny ShinyHunters, přičemž bylo zasaženo přibližně 800 000 zaměstnanců. Hackeři požadovali výkupné 1,5 milionu dolarů.

Station Casinos bylo také napadeno v březnu. Mezi lety 2007 a 2023 bylo zaznamenáno více než 50 potvrzených kybernetických incidentů týkajících se nevadských herních společností, přičemž frekvence v posledním desetiletí prudce vzrostla. V rámci nových nařízení Nevadská herní komise také aktualizovala svou terminologii. Na žádost průmyslu se nyní oficiálně používá termín „incident kybernetické bezpečnosti“ místo „kybernetický útok“. Tato změna má zvýšit přijetí mezi držiteli licencí, protože termín zní neutrálněji.

Pozadí

Zkrácení lhůty pro hlášení ze 72 na 24 hodin bylo v průmyslu kontroverzní. Nevada Resort Association poznamenala, že dodavatelé třetích stran často sami potřebují 48 hodin na to, aby kasina informovali o únikcích dat. Přesto představenstvo trvalo na svém. Mike Dreitzer, předseda Nevadské kontrolní herní rady, zdůraznil potřebu včasné komunikace, i když všechny podrobnosti ještě nejsou známy v takto rané fázi. Jde o navázání prvního kontaktu, signál regulátorovi, že něco není v pořádku.

"Pro radu bylo důležité, aby oznámení o incidentu kybernetické bezpečnosti proběhlo do 24 hodin. Sedmdesát dva hodin v praxi bylo prostě příliš dlouho. Následně jsme upravili požadavky na hlášení pro držitele licencí tak, aby odpovídaly tomu, co nyní považujeme za osvědčený postup." - Mike Dreitzer, předseda Nevadské kontrolní herní rady

Kromě 24hodinového oznámení musí provozovatelé nyní do pěti dnů předložit podrobnou zprávu o reakci na incident. Alternativně mohou požádat o osobní schůzku s předsedou rady. V tomto případě se lhůta pro písemnou zprávu prodlužuje na 30 dní. Během celého procesu řešení jsou povinné písemné aktualizace každých 30 dní. Cílem je zajistit, aby regulátor již nebyl poslední věcí, na kterou společnost během krize myslí, jak trefně poznamenala Kristi Torgersonová z oddělení vymáhání práva.

Proč je to důležité pro německé hráče

Pro německé hráče aktivní v online kasinech s licencí GGL se tato zpráva z Las Vegas může zdát vzdálená, ale IT bezpečnost a ochrana dat jsou zde regulovány stejně přísně. Mezinárodní smlouva o hazardních hrách 2021 (GlüStV 2021) klade obrovský důraz na integritu systémů. V Německu musí všichni licencovaní poskytovatelé být připojeni k centrálnímu dohledovému systému LUGAS. Tento systém nejen monitoruje měsíční limit vkladu 1 000 EUR a limit 1 EUR na zatočení pro automaty, ale také stanovuje vysoké technické požadavky na ochranu dat.

Hackerový útok na německé online kasino by měl okamžité následky pro dostupnost a zabezpečení dat. Jelikož jsou němečtí poskytovatelé přísně regulováni, musí také okamžitě hlásit bezpečnostní incidenty. Společný úřad pro hazardní hry států (GGL) udržuje seznam povolených společností, které splňují tyto přísné požadavky. Hráči by proto měli dbát na to, aby hráli pouze s poskytovateli s německou licencí. Na rozdíl od neregulovaných kasin z Curacaa nebo jiných offshore jurisdikcí, licence GGL poskytuje právní ochranu a státní dohled na ochranu zájmů hráčů v případě úniku dat.

Co to znamená pro kasina s licencí GGL

Vývoj v Nevadě by mohl sloužit jako model pro další zpřísňování regulací v Evropě. Kasina s licencí GGL již masivně investují do své IT infrastruktury, aby splnila požadavky GlüStV 2021. Konektivita přes LUGAS a databázi vyloučených osob OASIS vyžaduje neustálou komunikaci v reálném čase. V případě vzniku bezpečnostních mezer by byla ohrožena integrita celého systému ochrany hráčů v Německu. Němečtí poskytovatelé proto musí neustále aktualizovat své plány reakce, podobně jako resorty v Las Vegas.

"Kasina jsou oportunistickými cíli, protože mají rozsáhlé kybernetické vstupní body, mají spoustu peněz a veřejné pobouření je méně nápadné, když jsou napadena." - Výzkumníci z UNLV (University of Nevada, Las Vegas)

Pro provozovatele v Německu není technická spolehlivost volitelným doplňkem, ale předpokladem existence. Zanedbání bezpečnosti systémů hrozí nejen pokutami, ale i odebráním cenné licence GGL. Nevadská pravidla ukazují, že transparentnost vůči regulátorovi je jediným způsobem, jak si dlouhodobě udržet důvěru veřejnosti. Němečtí hráči z tohoto globálního trendu směrem ke zvýšené kybernetické bezpečnosti nepřímo těží, protože mezinárodní standardy se často promítají do místních předpisů.