Rivers Casino Philadelphia joutui joukkokanteen kohteeksi tietomurron vuoksi

Kyberturvallisuus uhkapeliteollisuudessa on jälleen noussut oikeuslaitoksen tarkennukseen. Tämän vuoden tammikuun vakavan tapauksen jälkeen Rivers Casino Philadelphia joutuu nyt vastaamaan ryhmäkanteeseen. Yhdysvaltain piirioikeuden tuomari Joshua D. Wolson on todennut, että kasinotoimijaa vastaan nostetut laiminlyöntiväitteet ovat riittävän perusteltuja oikeudenkäynnin aloittamiseksi. Laitoksen asiakkaat nostivat kanteen sen jälkeen, kun asiattomat osapuolet olivat päässeet palvelimille ja mahdollisesti kopioineet erittäin arkaluonteisia tiedostoja.

Tietovuodon laajuus on merkittävä, sillä vahingoittuneet tiedostot sisälsivät nimiä, pankkitietoja ja jopa sosiaaliturvatunnuksia. Tällaisia tietoja etsitään mustilta markkinoilta, sillä ne muodostavat perustan identiteettivarkauksille. Vaikka kasino ilmoitti asiasta asianosaisille tapauksen jälkeen, kantajat syyttävät yritystä hyökkäyksen todellisen laajuuden salaamisesta. Tuomari Wolson korosti päätöksessään, että toimijoilla on selkeä huolenpitovelvollisuus asiakastietojen suojaamisessa ja että kantajat ovat uskottavasti väittäneet tämän velvollisuuden rikotun.

Numerot ja faktat

Nykyinen tapaus liittyy sarjaan kyberhyökkäyksiä Yhdysvaltain uhkapeliteollisuutta vastaan. Vaikka Rivers Casino Philadelphia -tapauksen tarkkaa määrää vahingoittuneista asiakkaista ei ole vielä vahvistettu nykyisessä oikeuden päätöksessä, samankaltaisten tapausten tarkastelu näyttää ulottuvuudet. Ryhmäkannetta hoitava asianajotoimisto Levi & Korsinsky LLP on kehottanut asianosaisia liittymään kanteeseen. Vertailu Wynn Resorts -tapaukseen havainnollistaa vaaraa: siellä ryhmä ShinyHunters pääsi käsiksi noin 800 000 tietueeseen ja vaati lunnaita 1,5 miljoonaa Yhdysvaltain dollaria helmikuun määräaikaan mennessä. Rivers Casino -tapauksessa tuomari hylkäsi väitteet laittomasta rikastumisesta tai yksityisyyden loukkauksesta, mutta hyväksyi laiminlyöntisyytteen, koska kantajat olivat jo ilmoittaneet lisääntyneistä petosyrityksistä tietovuodon jälkeen.

"Kantajat olivat uskottavasti väittäneet, että se ei täyttänyt velvollisuuttaan noudattaa kohtuullista huolellisuutta asiakkaiden henkilötietojen suojauksessa." - Joshua D. Wolson, Yhdysvaltain piirioikeuden tuomari

Tausta

Casinot ovat erittäin houkuttelevia kohteita kyberrikollisille. UNLV:n (University of Nevada, Las Vegas) tutkimus osoittaa, että Nevadassa tapahtui yli 50 vahvistettua kybertapahtumaa uhkapeliyhtiöitä vastaan vuosina 2007–2023. Useimmat näistä tapahtuivat viime vuosikymmenen aikana. Usein IT-infrastruktuuri perustuu vanhentuneeseen teknologiaan, mikä helpottaa hyökkääjien pääsyä. Nykyisten Rivers Philadelphian vastaisten oikeustoimien ydin on, oliko yritys toteuttanut huippuluokan suojatoimenpiteitä. Tuomari Wolson piti tapauksen jälkeisiä petosyrityksiä koskevia raportteja riittävänä todisteena oikeudenkäynnin jatkamiseksi. Muut oikeudelliset vaatimukset, kuten luottamussuhteen rikkominen, hylättiin riittämättöminä perusteina.

Miksi se on tärkeää saksalaisille pelaajille

Saksalaisten pelaajien, jotka toimivat online-kasinoilla, joilla on lisenssi Gemeinsame Glücksspielbehörde der Länderiltä (GGL), kannalta tietoturva on entistä korkeampi prioriteetti. Vuoden 2021 uhkapelisopimus (GlüStV 2021) määrää erittäin tiukat tekniset vaatimukset. Jokaisen pelaajan on rekisteröidyttävä keskitetyn LUGAS-järjestelmän kautta talletusrajojen (enintään 1 000 euroa kuukaudessa) ja virtuaalisten slottien panosrajan (1 euro per kierros) seuraamiseksi. Tämä henkilötietojen yhdistäminen valtion valvontajärjestelmiin tarkoittaa, että saksalaisilla lisenssinhaltijoilla on valtava vastuu. Tietovuoto, kuten Philadelphiassa tapahtunut, olisi tässä maassa sääntelypainajainen ja voisi johtaa GGL-lisenssin välittömään peruuttamiseen. Saksalaiset pelaajat nauttivat yhdestä korkeimmista suojatasoista maailmanlaajuisesti GDPR:n ja GGL-valvonnan ansiosta, mikä erottaa heidät vähemmän säännellyistä MGA- tai Curacao-tarjoajista.

Mitä se tarkoittaa GGL-lisensoiduille kasinoille

Virallisella valkoisella listalla olevien saksalaisten tarjoajien on varmistettava, että heidän liittymänsä LUGASiin ja OASIS-estotiedostoon ovat paitsi toimivia myös salattuja uusimpien standardien mukaisesti. Rivers Casinon tapaus osoittaa, että tuomioistuimet ovat yhä halukkaampia pitämään operaattorit suoraan vastuullisina IT-puutteista. GGL-kasinoille tämä tarkoittaa jatkuvaa velvollisuutta investoida kyberturvallisuuteen välttääkseen Yhdysvaltain joukkokanteiden mallin mukaisia vahingonkorvausvaatimuksia. IT-järjestelmät on auditoitava säännöllisesti, sillä GGL voi määrätä tuntuvia sakkoja turvallisuuspuutteista. Saksassa avoimuus viranomaisia kohtaan hyökkäystapauksissa on myös tiukasti säännelty laillisilla raportointivaatimuksilla verrattuna moneen Yhdysvaltain osavaltioon.