Datahyökkäys Gambling with Lives -järjestössä: Beaconin kyberhyökkäys osuu hyväntekeväisyyteen

Kyberrikollisuus ei pysähdy yhteiskunnan haavoittuvimpien jäsenten tukemiseen omistautuneisiin organisaatioihin. Gambling with Lives, hyväntekeväisyysjärjestö, joka tukee peliriippuvuuden aiheuttamien itsemurhien takia surevia perheitä, sai äskettäin tiedon valtavasta tietovarkaudesta. Hyökkäys ei kohdistunut hyväntekeväisyysjärjestön omaan infrastruktuuriin, vaan sen ohjelmistotoimittajaan, Beaconiin. Tämä yritys on erikoistunut asiakkuudenhallintaan (CRM) ja hallinnoi tietoja valtavalle määrälle kulttuuri- ja hyväntekeväisyysinstituutioita.

Tiedonkulku tapahtumasta alkoi aaltoilla 6. elokuuta, kun järjestön johtajat varoittivat sähköpostitse asianosaisia. On katkeraa ironiaa, että ihmisten, jotka ovat jo arpeutuneet peliriippuvuuteen liittyvistä traumaattisista kokemuksista, on nyt huolehdittava myös henkilötietojensa turvallisuudesta. Tapaus sattui heinäkuun lopulla, mutta vaarantuneiden tietojen laajuus selviää vasta nyt. Toimialalla, jossa harkinta ja luottamus ovat tärkeimpiä valuuttoja, tällainen vuoto edustaa katastrofaalista luottamuspulaa.

Numerot ja faktat

Beaconiin kohdistuneen hyökkäyksen mittakaava on valtava. Yritys tukee yli 1 500 hyväntekeväisyys- ja kulttuurijärjestöä valtakunnallisesti. Gambling with Lives on siten vain yksi monista asianosaisista tahoista. Charles Ritchie, Gambling with Livesin hallituksen puheenjohtaja, vahvisti sidosryhmille lähettämässään sähköpostissa, että organisaation tiedot vaarantuivat kyberturvallisuusrikkomuksessa. Vaikka vaarantuneiden tietueiden tarkkaa määrää Gambling with Livesissä ei ole erikseen kvantifioitu, palveluntarjoaja Beaconin koko tekee selväksi, että kyseessä on systeeminen epäonnistuminen. Tapaus alkoi heinäkuun lopulla ja on sen jälkeen aiheuttanut kaaosta monien avustusjärjestöjen IT-infrastruktuurissa.

"Gambling with Lives sai tiedon, että sen tiedot vaarantuivat kyberturvallisuusrikkomuksessa sen kolmannen osapuolen CRM-palveluntarjoajassa Beacon." - Charles Ritchie, Gambling with Livesin hallituksen puheenjohtaja

Tausta

Gambling with Lives -järjestöllä on keskeinen rooli tiukempien uhkapelisääntöjen keskustelussa. Sen perustivat vanhemmat, jotka menettivät lapsensa peliriippuvuuden aiheuttamiin itsemurhiin. Se, että näiden surevien perheiden arkaluonteiset tiedot ovat nyt joutuneet luvattomien henkilöiden käsiin, on erityisen arkaluonteista. Beaconia pidetään todellisuudessa modernina standardina tietojen hallinnalle voittoa tavoittelemattomalla sektorilla. Tällainen hyökkäys kuitenkin korostaa haavoittuvuutta, joka syntyy, kun monet organisaatiot käyttävät samaa pilvipalveluntarjoajaa. IT-asiantuntijat viittaavat tähän klusteririskina. Jos keskus solmu kaatuu, sadat aliorganisaatiot kärsivät samanaikaisesti.

Miksi se on tärkeää saksalaisille pelaajille

Saksalaisille pelaajille, jotka toimivat online-kasinoissa, joilla on Gemeinsame Glücksspielbehörde der Länder (GGL) -lisenssi, tämä tapaus on kiireellinen varoitus. Saksassa Interstate Treaty on Gambling 2021 (GlüStV 2021) säätelee tiukasti tietojen käsittelyä. Keskitetty valvontajärjestelmä LUGAS tallentaa tietoja varmistaakseen 1000 euron kuukausittaisen talletusrajoituksen ja estääkseen monen pelin pelaamisen. Myös virtuaalisten kolikkopelien 1 euron panosrajoituksen noudattamista valvotaan tiukasti. Jos kuitenkin hyväntekeväisyysjärjestöt tai neuvontakeskukset, joihin käännytään lähestyvän riippuvuuden tapauksessa, käyttävät epäturvallista ohjelmistoa, edes paras GGL-sääntely ei auta tietovuotoa kolmannen osapuolen palveluntarjoajassa. Saksalaisten pelaajien tulisi varmistaa, että he käyttävät vain virallisella GGL-valkoisella listalla olevia portaaleja, sillä nämä palveluntarjoajat joutuvat todistamaan korkeimmat turvallisuusstandardit omalle IT-järjestelmälleen. Silti Beacon-tapaus osoittaa, että arkaluonteisia tietoja ulkopuolisille neuvontakeskuksille luovutettaessa tulisi aina kysyä IT-turvallisuussuunnitelmasta.

Mitä se tarkoittaa GGL-lisensoiduille kasinoille

GGL-lisensoidut palveluntarjoajat Saksassa ovat jatkuvan valvonnan alaisena. Vaikka Curacaon tai Maltan laittomat palveluntarjoajat käsittelevät usein kevyesti tietosuojaa, saksalaisten operaattorien on todistettava, että heidän CRM-järjestelmänsä ja kolmannen osapuolen palveluntarjoajansa ovat sertifioituja. Beaconin kaltainen tapaus johtaisi välittömään ilmoitukseen liittovaltion tietosuojavaltuutetulle ja GGL:lle Saksassa. Kasinoiden on varmistettava, että heidän asiakkuudenhallintakumppaninsa eivät muodostu akilleenkantapääksi. Pelaajien luottamus on suurin omaisuus, etenkin kun on kyse OASISin kaltaisista esto-järjestelmistä. Tietoketjun turvallisuus on yhtä tärkeää kuin itse pelin turvallisuus. Saksalaisten palveluntarjoajien tulisi käyttää tätä tapausta hyväkseen tarkistaakseen omat kolmannen osapuolen sopimuksensa kyberturvallisuuslausekkeiden osalta.