נבדה מחמירה כללים: בתי קזינו יחויבו לדווח על מתקפות סייבר תוך 24 שעות

עולם ההימורים של לאס וגאס נמצא תחת מתקפה דיגיטלית מתמדת. האקרים מכוונים יותר ויותר לכמויות העצומות של נתונים וזרמים כספיים המנוהלים על ידי מפעילי אתרי נופש גדולים. כדי להילחם באיום המתפתח הזה, נציבות ההימורים של נבדה יישמה שינויים משמעותיים בדרישות הדיווח. החל מיידית, חל מועד אחרון מחמיר של 24 שעות, במהלכן קזינו חייב להודיע לרשויות על פריצה מוצלחת. בעבר, לחברות היו שלושה ימים מלאים לעמוד בדרישות, מה שהתברר כאיטי מדי בפועל.

הרשויות מגיבות לגלי פריצות סייבר חסרי תקדים שזעזעו את בירת ההימורים האמריקאית בשנת 2023. באופן ספציפי, התקריות ב-Caesars Entertainment וב-MGM Resorts International הדגישו את פגיעותה של התעשייה. בעוד ש-Caesars דיווחה על תשלום של 15 מיליון דולר בכופר כדי להגן על נתוני לקוחות, MGM סירבה לשלם והתמודדה עם שיבושים תפעוליים מסיביים בעלות של למעלה מ-100 מיליון דולר. סכומים כאלה מושכים פושעים ברחבי העולם, אשר כעת משתמשים באופן גובר בבינה מלאכותית כדי לעקוף מחסומי אבטחה.

מספרים ועובדות

רמת האיום היא אמיתית וניתנת למדידה. חברת אבטחת הסייבר Crowd Strike צופה עלייה של 89% השנה בארכיטי איום המשתמשים בבינה מלאכותית למתקפות. במקביל, בתי קזינו משדרגים את הטכנולוגיה שלהם כדי להילחם באותם כלים. עם זאת, החודשים האחרונים מראים שהגנה טכנית לבדה אינה מספיקה. Wynn Resorts הפכה לקורבן של קבוצת ShinyHunters בתחילת 2025, עם תיעוד של כ-800,000 עובדים שנפגעו. ההאקרים דרשו כופר של 1.5 מיליון דולר.

Station Casinos הותקפה גם כן במרץ. בין השנים 2007 ל-2023, נרשמו למעלה מ-50 תקריות סייבר מאומתות המערבות חברות הימורים בנבדה, כאשר התדירות גוברת באופן חד בעשור האחרון. כחלק מהתקנות החדשות, נציבות ההימורים של נבדה עדכנה גם את הטרמינולוגיה שלה. לבקשת התעשייה, המונח "תקרית אבטחת סייבר" משמש כעת באופן רשמי במקום "מתקפת סייבר". שינוי זה נועד להגביר את הקבלה בקרב בעלי הרישיונות, מכיוון שהמונח נשמע ניטרלי יותר.

רקע

קיצור חלון ההודעה מ-72 ל-24 שעות היה שנוי במחלוקת בתוך התעשייה. איגוד בתי המלון של נבדה ציין כי לספקי צד שלישי דרושות לעיתים קרובות 48 שעות כדי להודיע לבתי הקזינו על דליפות. למרות זאת, ההנהלה עמדה איתן. מייק דריצר, יו"ר מועצת הפיקוח על ההימורים של נבדה, הדגיש את הצורך בתקשורת בזמן, גם אם כל הפרטים אינם ידועים בשלב מוקדם כל כך. מדובר על יצירת קשר ראשוני, איתות לרגולטור שמשהו לא בסדר.

"היה חשוב למועצה שההודעה על תקרית אבטחת הסייבר תתבצע תוך 24 שעות. שבעים ושתיים שעות בפועל היו פשוט ארוכות מדי. שינינו את דרישות הדיווח עבור בעלי הרישיונות בהתאם למה שאנו מבינים כעת כפרקטיקה מיטבית." - מייק דריצר, יו"ר מועצת הפיקוח על ההימורים של נבדה

בנוסף להודעה של 24 שעות, המפעילים חייבים כעת להגיש דוח מפורט של תגובה לתקרית תוך חמישה ימים. לחילופין, הם יכולים לבקש פגישה פנים אל פנים עם יו"ר המועצה. במקרה זה, המועד להגשת הדוח הכתוב מתארך ל-30 יום. לאורך כל תהליך הרזולוציה, עדכונים בכתב חובה כל 30 יום. המטרה היא להבטיח שהרגולטור כבר לא יהיה הדבר האחרון בחשיבה של חברה בזמן משבר, כפי שציינה במדויק קריסטי טורגרסון מאגף האכיפה.

למה זה חשוב עבור שחקנים גרמנים

עבור שחקנים גרמנים הפעילים בבתי קזינו מקוונים עם רישיון GGL, חדשות אלו מנבדה עשויות להיראות רחוקות, אך אבטחת IT והגנה על נתונים מוסדרים בקפדנות רבה גם כאן. אמנת המדינות בנושא הימורים 2021 (GlüStV 2021) מעניקה ערך עצום לשלמות מערכת. בגרמניה, כל הספקים המורשים חייבים להיות מחוברים למערכת הפיקוח המרכזית LUGAS. מערכת זו לא רק מנטרת את מגבלת ההפקדה החודשית של 1,000 אירו ואת מגבלת הסיבוב של 1 אירו עבור סלוטים, אלא גם קובעת דרישות טכניות גבוהות להגנה על נתונים.

מתקפת האקרים על קזינו מקוון גרמני תהיה בעלת השלכות מיידיות על הנגישות ואבטחת הנתונים. מכיוון שספקים גרמנים מפוקחים בקפדנות, הם חייבים גם לדווח על תקריות אבטחה באופן מיידי. הרשות המשותפת להימורים של המדינות (GGL) מנהלת רשימת יצרנים (whitelist) של חברות העומדות בדרישות מחמירות אלו. לכן, שחקנים צריכים לוודא שהם משחקים רק עם ספקים בעלי רישיון גרמני. בניגוד לקזינואים בלתי מפוקחים מקוראסאו או מתחומי שיפוט אחרים בחו"ל, רישיון GGL מספק סעד משפטי ופיקוח מדינתי להגנה על האינטרסים של השחקנים במקרה של דליפת נתונים.

מה זה אומר עבור קזינואים עם רישיון GGL

ההתפתחויות בנבדה יכולות לשמש מודל להחמרה נוספת של תקנות באירופה. קזינואים עם רישיון GGL כבר משקיעים רבות בתשתית ה-IT שלהם כדי לעמוד בדרישות GlüStV 2021. קישוריות דרך LUGAS ומאגר ההדרה OASIS דורשים תקשורת מתמדת בזמן אמת. אם יתרחשו פערים אבטחתיים כאן, שלמותה של כל מערכת הגנת השחקנים הגרמנית תהיה בסכנה. לכן, ספקים גרמנים חייבים לעדכן באופן קבוע את תוכניות התגובה שלהם, בדומה לאתרי הנופש בנבדה.

"בתי קזינו הם מטרות אופורטוניסטיות מכיוון שיש להם מגוון רחב של נקודות כניסה סייבר, יש להם הרבה כסף, והזעם הציבורי פחות בולט כאשר תוקפים אותם." - חוקרים ב-UNLV (אוניברסיטת נבדה, לאס וגאס)

עבור מפעלים בגרמניה, אמינות טכנית אינה אמצעי נוסף אלא תנאי הכרחי לקיום. הזנחת אבטחת מערכת מסכנת לא רק קנסות אלא גם ביטול רישיון ה-GGL היקר. כללי נבדה מדגימים ששקיפות מול הרגולטור היא הדרך היחידה לשמור על אמון הציבור בטווח הארוך. שחקנים גרמנים מרוויחים בעקיפין ממגמה גלובלית זו לקראת אבטחת סייבר מוגברת, שכן תקנים בינלאומיים מוצאים את דרכם לעיתים קרובות לתקנות מקומיות.