Nevada Refuerza las Normas: los Casinos Deben Informar de Ciberataques en 24 Horas

El mundo del juego de Las Vegas está bajo un asedio digital constante. Los hackers apuntan cada vez más a la gran cantidad de datos y flujos financieros gestionados por los principales operadores de resorts. Para contrarrestar esta amenaza en evolución, la Comisión de Juego de Nevada ha implementado cambios significativos en los requisitos de notificación. Con efecto inmediato, se aplica un estricto plazo de 24 horas, durante el cual un casino debe notificar a las autoridades sobre una brecha exitosa. Anteriormente, las empresas tenían tres días completos para cumplir, lo que resultó ser demasiado lento en la práctica.

Los reguladores están respondiendo a una ola sin precedentes de ciberataques que sacudió la capital del juego estadounidense en 2023. Específicamente, los incidentes en Caesars Entertainment y MGM Resorts International resaltaron la vulnerabilidad de la industria. Mientras que Caesars supuestamente pagó 15 millones de dólares en rescate para proteger los datos de los clientes, MGM se negó a pagar y se enfrentó a enormes interrupciones operativas que costaron más de 100 millones de dólares. Dichas cifras atraen a criminales a nivel mundial, quienes ahora utilizan cada vez más la inteligencia artificial para eludir las barreras de seguridad.

Números y hechos

El nivel de amenaza es real y medible. La firma de ciberseguridad Crowd Strike predice un aumento del 89% este año en actores de amenazas que utilizan inteligencia artificial para ataques. Al mismo tiempo, los casinos están actualizando su tecnología para luchar con las mismas herramientas. Sin embargo, los últimos meses muestran que la defensa técnica por sí sola no es suficiente. Wynn Resorts fue víctima del grupo ShinyHunters a principios de 2025, con registros de aproximadamente 800.000 empleados afectados. Los hackers exigieron un rescate de 1,5 millones de dólares.

Station Casinos también fue objetivo en marzo. Entre 2007 y 2023, se registraron más de 50 incidentes cibernéticos confirmados que involucran a empresas de juego de Nevada, con una frecuencia que aumenta drásticamente en la última década. Como parte de las nuevas regulaciones, la Comisión de Juego de Nevada también actualizó su terminología. A petición de la industria, el término "incidente de ciberseguridad" se utiliza ahora oficialmente en lugar de "ciberataque". Este cambio está destinado a aumentar la aceptación entre los licenciatarios, ya que el término suena más neutral.

Antecedentes

Acortar el plazo de notificación de 72 a 24 horas fue controvertido dentro de la industria. La Asociación de Resorts de Nevada señaló que los proveedores externos a menudo necesitan 48 horas para notificar a los casinos sobre fugas de datos. Sin embargo, la junta se mantuvo firme. Mike Dreitzer, presidente de la Junta de Control de Juego de Nevada, enfatizó la necesidad de una comunicación oportuna, incluso si no se conocen todos los detalles en una etapa tan temprana. Se trata de establecer un contacto inicial, una señal para el regulador de que algo anda mal.

"Era importante para la Junta que la notificación del incidente de ciberseguridad ocurriera dentro de las 24 horas. Setenta y dos horas en la práctica eran simplemente demasiado tiempo. Modificamos los requisitos de notificación para los licenciatarios posteriormente para que se ajustaran a lo que ahora entendemos que son las mejores prácticas." - Mike Dreitzer, Presidente de la Junta de Control de Juego de Nevada

Además del aviso de 24 horas, los operadores ahora deben presentar un informe detallado de respuesta al incidente dentro de los cinco días. Alternativamente, pueden solicitar una reunión en persona con el presidente de la Junta. En este caso, el plazo para el informe escrito se extiende a 30 días. A lo largo del proceso de resolución, las actualizaciones escritas son obligatorias cada 30 días. El objetivo es garantizar que el regulador ya no sea lo último en lo que piense una empresa durante una crisis, como señaló acertadamente Kristi Torgerson de la división de cumplimiento.

Por qué importa para los jugadores alemanes

Para los jugadores alemanes activos en casinos en línea con licencia de GGL, esta noticia de Las Vegas podría parecer lejana, pero la seguridad informática y la protección de datos se regulan de manera igualmente estricta aquí. El Tratado Interestatal sobre Juego 2021 (GlüStV 2021) otorga un inmenso valor a la integridad del sistema. En Alemania, todos los proveedores con licencia deben estar conectados al sistema de supervisión central LUGAS. Este sistema no solo supervisa el límite de depósito mensual de 1.000 euros y el límite de 1 euro por giro para las tragamonedas, sino que también establece altos estándares técnicos para la protección de datos.

Un ataque de hackers a un casino en línea alemán tendría consecuencias inmediatas para la accesibilidad y la seguridad de los datos. Dado que los proveedores alemanes están estrictamente regulados, también deben informar de inmediato sobre incidentes de seguridad. La Autoridad Conjunta de Juego de los Estados (GGL) mantiene una lista blanca de empresas que cumplen estos estrictos requisitos. Por lo tanto, los jugadores deben asegurarse de jugar solo con proveedores que tengan una licencia alemana. A diferencia de los casinos no regulados de Curazao u otras jurisdicciones extraterritoriales, la licencia GGL proporciona recursos legales y supervisión estatal para proteger los intereses de los jugadores en caso de una filtración de datos.

Qué significa para los casinos con licencia GGL

Los desarrollos en Nevada podrían servir como modelo para un mayor endurecimiento de las regulaciones en Europa. Los casinos con licencia GGL ya están invirtiendo fuertemente en su infraestructura de TI para cumplir con los requisitos de GlüStV 2021. La conectividad a través de LUGAS y la base de datos de exclusión OASIS requiere una comunicación constante en tiempo real. Si ocurrieran brechas de seguridad aquí, la integridad de todo el sistema de protección del jugador alemán estaría en juego. Por lo tanto, los proveedores alemanes deben actualizar constantemente sus planes de respuesta, de manera similar a los resorts en Las Vegas.

"Los casinos son objetivos oportunistas porque tienen una amplia gama de puntos de entrada cibernética, mucho dinero y la indignación pública es menos visible cuando son atacados." - Investigadores de la UNLV (Universidad de Nevada, Las Vegas)

Para los operadores en Alemania, la fiabilidad técnica no es un extra opcional, sino un requisito previo para la existencia. Descuidar la seguridad del sistema conlleva no solo multas, sino también la revocación de la valiosa licencia GGL. Las reglas de Nevada demuestran que la transparencia con el regulador es la única forma de mantener la confianza pública a largo plazo. Los jugadores alemanes se benefician indirectamente de esta tendencia global hacia una mayor ciberseguridad, ya que los estándares internacionales a menudo llegan a las regulaciones locales.