Nevada skærper regler: Kasinoer skal anmelde cyberangreb inden for 24 timer

Las Vegas' spilverden er under konstant digital belejring. Hackere retter i stigende grad deres opmærksomhed mod de enorme mængder data og finansielle strømme, som de store resortoperatører håndterer. For at imødegå denne udviklende trussel har Nevada Gaming Commission implementeret væsentlige ændringer i anmeldelseskravene. Med øjeblikkelig virkning gælder en streng frist på 24 timer, inden for hvilken et kasino skal underrette myndighederne om et succesfuldt brud. Tidligere havde virksomhederne tre hele dage til at overholde dette, hvilket viste sig at være for langsomt i praksis.

Regulatorerne reagerer på en hidtil uset bølge af cyberangreb, der rystede den amerikanske spillehovedstad i 2023. Specifikt fremhævede hændelserne hos Caesars Entertainment og MGM Resorts International branchens sårbarhed. Mens Caesars angiveligt betalte 15 millioner dollars i løsesum for at beskytte kundedata, nægtede MGM at betale og stod over for massive operationelle forstyrrelser, der kostede over 100 millioner dollars. Sådanne beløb tiltrækker kriminelle globalt, som nu i stigende grad bruger kunstig intelligens til at omgå sikkerhedsbarrierer.

Tal og fakta

Trusselsniveauet er både reelt og målbart. Cybersikkerhedsfirmaet Crowd Strike forudser en stigning på 89 % i år i trusselsaktører, der bruger kunstig intelligens til angreb. Samtidig opgraderer kasinoerne deres teknologi for at bekæmpe med de samme værktøjer. Imidlertid viser de seneste måneder, at teknisk forsvar alene ikke er nok. Wynn Resorts blev offer for ShinyHunters-gruppen i starten af 2025, med optegnelser over cirka 800.000 berørte medarbejdere. Hackere krævede en løsesum på 1,5 millioner dollars.

Station Casinos blev også ramt i marts. Mellem 2007 og 2023 blev der registreret over 50 bekræftede cyberhændelser involverende Nevada-spilvirksomheder, med en skarp stigning i frekvensen over det seneste årti. Som en del af de nye regler opdaterede Nevada Gaming Commission også sin terminologi. På industriens anmodning bruges udtrykket "cybersikkerhedshændelse" nu officielt i stedet for "cyberangreb". Denne ændring er beregnet til at øge accepten blandt licenstagere, da udtrykket lyder mere neutralt.

Baggrund

Forkortelsen af anmeldelsesvinduet fra 72 til 24 timer var kontroversiel inden for industrien. Nevada Resort Association bemærkede, at tredjepartsleverandører ofte selv behøver 48 timer til at underrette kasinoer om lækager. Ikke desto mindre stod bestyrelsen fast. Mike Dreitzer, formand for Nevada Gaming Control Board, understregede behovet for rettidig kommunikation, selvom alle detaljer endnu ikke er kendt på et så tidligt stadie. Det handler om at etablere indledende kontakt, et signal til regulatoren om, at noget er galt.

"Det var vigtigt for bestyrelsen, at anmeldelsen af cybersikkerhedshændelsen skete inden for 24 timer. Halvfjerds-to timer i praksis var simpelthen for lang tid. Vi ændrede derefter anmeldelseskravene for licenstagere for at tilpasse os, hvad vi nu forstår som bedste praksis." - Mike Dreitzer, formand for Nevada Gaming Control Board

Ud over 24-timers anmeldelsen skal operatører nu indsende en detaljeret hændelsesresponsrapport inden for fem dage. Alternativt kan de anmode om et personligt møde med bestyrelsesformanden. I dette tilfælde udvides fristen for den skriftlige rapport til 30 dage. Gennem hele løsningsprocessen er skriftlige opdateringer obligatoriske hver 30. dag. Målet er at sikre, at regulatoren ikke længere er det sidste, en virksomhed tænker på under en krise, som Kristi Torgerson fra håndhævelsesafdelingen passende bemærkede.

Hvorfor det betyder noget for tyske spillere

For tyske spillere, der er aktive i GGL-licenserede online kasinoer, kan disse nyheder fra Las Vegas virke fjerne, men IT-sikkerhed og databeskyttelse er reguleret lige så strengt her. Den Fælles Statslige Spilleaftale 2021 (GlüStV 2021) lægger enorm vægt på systemintegritet. I Tyskland skal alle licenserede udbydere være forbundet til det centrale LUGAS-tilsynssystem. Dette system overvåger ikke kun den månedlige indbetalingsgrænse på 1.000 euro og grænsen på 1 euro pr. spin for spilleautomater, men sætter også høje tekniske standarder for databeskyttelse.

Et hackerangreb på et tysk online kasino ville have øjeblikkelige konsekvenser for tilgængelighed og datasikkerhed. Da tyske udbydere er strengt reguleret, skal de også anmelde sikkerhedshændelser øjeblikkeligt. Joint Gambling Authority of the States (GGL) vedligeholder en hvidliste over virksomheder, der opfylder disse strenge krav. Spillere bør derfor sikre sig, at de kun spiller med udbydere, der har en tysk licens. I modsætning til uregerede kasinoer fra Curacao eller andre offshore-jurisdiktioner giver GGL-licensen juridisk retsmiddel og statsligt tilsyn til beskyttelse af spillernes interesser i tilfælde af datalækage.

Hvad det betyder for GGL-licenserede kasinoer

Udviklingen i Nevada kunne tjene som model for yderligere skærpelse af reglerne i Europa. GGL-licenserede kasinoer investerer allerede massivt i deres IT-infrastruktur for at opfylde kravene i GlüStV 2021. Forbindelse via LUGAS og OASIS-udelukkelsesdatabasen kræver konstant realtids-kommunikation. Skulle der opstå sikkerhedshuller her, ville integriteten af hele det tyske spillersikkerhedssystem være på spil. Tyske udbydere skal derfor konstant opdatere deres responsplaner, meget lig resorterne i Las Vegas.

"Kasinoer er opportunistiske mål, fordi de har et omfattende udvalg af cyber-indgangspunkter, har mange penge, og den offentlige forargelse er mindre iøjnefaldende, når de bliver angrebet." - Forskere ved UNLV (University of Nevada, Las Vegas)

For operatører i Tyskland er teknisk pålidelighed ikke en valgfri ekstra, men en forudsætning for eksistens. At forsømme systemsikkerheden risikerer ikke kun bøder, men også tilbagetrækning af den værdifulde GGL-licens. Nevada-reglerne viser, at gennemsigtighed med regulatoren er den eneste måde at bevare offentlig tillid på lang sigt. Tyske spillere drager indirekte fordel af denne globale tendens mod øget cybersikkerhed, da internationale standarder ofte finder vej til lokale regler.