Proboj podataka u Gambling with Lives: Kibernapada na Beacon pogodio dobrotvornu organizaciju

Kibernički kriminal ne zaustavlja se na organizacijama posvećenima podršci najranjivijim članovima društva. Gambling with Lives, dobrotvorna organizacija koja podržava obitelji koje su izgubile najmilije zbog samoubojstava povezanih s kockanjem, nedavno je obaviještena o masovnoj krađi podataka. Napad nije bio usmjeren na vlastitu infrastrukturu dobrotvorne organizacije, već na njezina softverskog pružatelja, Beacon. Ova tvrtka specijalizirala se za upravljanje odnosima s kupcima (CRM) i upravlja podacima za velik broj kulturnih i dobrotvornih institucija.

Vijest o incidentu odjeknula je 6. kolovoza kada su čelnici organizacije putem e-pošte upozorili pogođene. Gorka je ironija da se ljudi koji su već ožiljni traumatičnim iskustvima povezanim s kockanjem sada moraju brinuti i o sigurnosti svojih osobnih podataka. Incident se dogodio krajem srpnja, no puni opseg ugroženih podataka tek sada postaje jasan. U industriji gdje su diskrecija i povjerenje najvažnije valute, takvo curenje predstavlja katastrofalno kršenje povjerenja.

Brojke i činjenice

Opseg napada na Beacon je golem. Tvrtka podržava preko 1.500 dobrotvornih i kulturnih organizacija diljem zemlje. Gambling with Lives stoga je samo jedna od mnogih pogođenih entiteta. Charles Ritchie, predsjednik upravnog odbora Gambling with Lives, potvrdio je u e-poruci dionicima da su informacije organizacije ugrožene u proboju kibernetičke sigurnosti. Iako točan broj pogođenih zapisa u Gambling with Lives nije eksplicitno kvantificiran, veličina pružatelja Beacon jasno pokazuje da je riječ o sistemskom propustu. Incident je započeo krajem srpnja i od tada je uzrokovao kaos u IT infrastrukturi mnogih organizacija za pomoć.

"Gambling with Lives je obaviješten da su njihove informacije ugrožene u proboju kibernetičke sigurnosti kod njihovog pružatelja CRM usluga treće strane Beacon." - Charles Ritchie, Predsjednik upravnog odbora u Gambling with Lives

Pozadina

Organizacija Gambling with Lives igra središnju ulogu u raspravi o strožim zakonima o kockanju. Osnovali su je roditelji koji su izgubili svoju djecu u samoubojstvima povezanim s kockanjem. Činjenica da su osjetljivi podaci ovih obitelji koje su izgubile najmilije sada pali u ruke neovlaštenih osoba posebno je osjetljiva. Beacon se zapravo smatra modernim standardom za upravljanje podacima u neprofitnom sektoru. Međutim, takav napad naglašava ranjivost koja nastaje kada mnoge organizacije koriste istog pružatelja usluga u oblaku. IT stručnjaci to nazivaju klaster rizikom. Ako središnje čvorište padne, istovremeno je pogođeno stotine podređenih organizacija.

Zašto je to važno za njemačke igrače

Za njemačke igrače aktivne u online kockarnicama s licencom Gemeinsame Glücksspielbehörde der Länder (GGL), ovaj incident je hitno upozorenje. U Njemačkoj, Međudržavni ugovor o kockanju 2021. (GlüStV 2021.) strogo regulira kako se podaci moraju obrađivati. Središnji sustav nadzora LUGAS pohranjuje podatke kako bi osigurao usklađenost s među-pružateljskim ograničenjem depozita od 1.000 eura mjesečno i kako bi spriječio višestruko kockanje. Strogo se prati i poštivanje ograničenja od 1 eura po okretaju za virtualne igre na automatima. Međutim, ako dobrotvorne organizacije ili savjetovališta kojima se obraćate u slučaju nadolazeće ovisnosti koriste nesiguran softver, čak ni najbolja GGL regulacija ne pomaže protiv curenja podataka kod pružatelja usluga treće strane. Njemački igrači trebali bi se pobrinuti da koriste samo portale na službenom GGL popisu, jer ti pružatelji moraju dokazati najviše sigurnosne standarde za vlastitu IT. Unatoč tome, slučaj Beacon pokazuje da uvijek treba pitati o konceptu IT sigurnosti prilikom otkrivanja osjetljivih informacija vanjskim savjetovalištima.

Što to znači za kasina s GGL licencom

Pružatelji usluga s GGL licencom u Njemačkoj su pod stalnim nadzorom. Dok ilegalni pružatelji iz Curacaa ili Malte često nehajno rukuju zaštitom podataka, njemački operateri moraju dokazati da su njihovi CRM sustavi i pružatelji usluga treće strane certificirani. Incident poput onog u Beaconu pokrenuo bi trenutno izvješće Federalnom povjereniku za zaštitu podataka i GGL-u u Njemačkoj. Kasina moraju osigurati da njihovi partneri za upravljanje kupcima ne postanu Ahilova peta. Povjerenje igrača najvažnija je imovina, posebno kada su u pitanju sustavi blokiranja poput OASIS-a. Sigurnost podatkovnog lanca jednako je važna kao i sigurnost same igre. Njemački pružatelji bi trebali iskoristiti ovaj incident kao priliku da pregledaju svoje vlastite ugovore s trećim stranama u pogledu klauzula o kibernetičkoj sigurnosti.