ネバダ州、サイバー攻撃の報告義務を24時間以内に強化

ラスベガスのゲーミング界は、絶え間ないデジタル攻撃にさらされています。ハッカーは、大手リゾート運営会社が管理する膨大なデータと資金の流れをますます標的にしています。この進化する脅威に対抗するため、ネバダ州ゲーミング委員会は報告要件に重要な変更を実施しました。即時発効で、カジノは侵害が成功した場合、当局に通知しなければならない厳格な24時間の期限が適用されます。以前は、企業には3日間の猶予がありましたが、実際には遅すぎることが証明されました。

規制当局は、2023年にアメリカのギャンブルの中心地を揺るがした前例のないサイバー攻撃の波に対応しています。具体的には、Caesars EntertainmentとMGM Resorts Internationalでのインシデントは、業界の脆弱性を浮き彫りにしました。Caesarsは顧客データを保護するために1,500万ドルの身代金を支払ったと報じられていますが、MGMは支払いを拒否し、1億ドル以上の費用がかかる大規模な運営上の混乱に直面しました。このような金額は世界中の犯罪者を惹きつけ、彼らは現在、セキュリティ障壁を回避するために人工知能をますます使用しています。

数字と事実

脅威レベルは現実的かつ測定可能です。サイバーセキュリティ企業Crowd Strikeは、今年、脅威アクターが攻撃に人工知能を使用するケースが89%増加すると予測しています。同時に、カジノは同じツールで反撃するために技術をアップグレードしています。しかし、最近の数ヶ月は、技術的な防御だけでは不十分であることを示しています。Wynn Resortsは2025年初頭にShinyHuntersグループの被害に遭い、約80万人の従業員が影響を受けた記録があります。ハッカーは150万ドルの身代金を要求しました。

Station Casinosも3月に標的にされました。2007年から2023年の間に、ネバダ州のゲーミング企業に関連する50件以上のサイバーインシデントが確認されており、過去10年間でその頻度は急増しています。新たな規制の一環として、ネバダ州ゲーミング委員会は用語も更新しました。業界からの要請により、「サイバー攻撃」の代わりに「サイバーセキュリティインシデント」という用語が公式に使用されるようになりました。この変更は、用語がより中立的に聞こえるため、ライセンシー間の受け入れを高めることを意図しています。

背景

報告期限を72時間から24時間に短縮することは、業界内で議論を呼びました。Nevada Resort Associationは、サードパーティベンダー自身がリークをカジノに通知するのに48時間かかる場合があると指摘しました。それにもかかわらず、委員会は断固とした姿勢を崩しませんでした。ネバダ州ゲーミング・コントロール・ボードの議長であるMike Dreitzerは、たとえすべての詳細がまだ判明していないとしても、タイムリーなコミュニケーションの必要性を強調しました。それは、規制当局への初期連絡、つまり何かが間違っているという信号を設定することです。

"委員会にとって、サイバーセキュリティインシデントの通知が24時間以内に行われることが重要でした。実際には72時間は長すぎたのです。その後、我々はライセンシーの報告要件を、現在ベストプラクティスと理解しているものに適合するように変更しました。" - Mike Dreitzer, ネバダ州ゲーミング・コントロール・ボード議長

24時間の通知に加えて、運営者は現在、5日以内に詳細なインシデント対応報告書を提出する必要があります。あるいは、委員会議長との対面会議を要求することもできます。この場合、書面報告書の期限は30日に延長されます。解決プロセス全体を通して、30日ごとの書面更新が義務付けられています。目標は、実施部門のKristi Torgersonが的確に述べたように、危機発生時に規制当局がもはや企業の頭の片隅に追いやられることがないようにすることです。

ドイツのプレイヤーにとっての意味

GGLライセンスを持つオンラインカジノで活動するドイツのプレイヤーにとって、ラスベガスからのこのニュースは遠いことのように思えるかもしれませんが、ITセキュリティとデータ保護はここでも同様に厳格に規制されています。ギャンブルに関する州間条約2021（GlüStV 2021）は、システムの完全性に大きな価値を置いています。ドイツでは、すべてのライセンスプロバイダーは、中央LUGAS監督システムに接続されていなければなりません。このシステムは、月額1,000ユーロの入金制限やスロットの1スピンあたり1ユーロの制限を監視するだけでなく、データ保護に関する高い技術的基準も設定しています。

ドイツのオンラインカジノへのハッカー攻撃は、アクセス可能性とデータセキュリティに直接的な影響を与えるでしょう。ドイツのプロバイダーは厳格に規制されているため、セキュリティインシデントも直ちに報告しなければなりません。州合同ギャンブル当局（GGL）は、これらの厳格な要件を満たす企業の名簿を維持しています。したがって、プレイヤーはドイツのライセンスを持つプロバイダーでのみプレイするように注意する必要があります。キュラソーやその他のオフショア管轄区域の規制されていないカジノとは異なり、GGLライセンスは、データ漏洩が発生した場合にプレイヤーの利益を保護するための法的救済と州の監督を提供します。

GGLライセンスカジノにとっての意味

ネバダ州での展開は、ヨーロッパでの規制強化のモデルとなる可能性があります。GGLライセンスカジノは、GlüStV 2021要件を満たすために、ITインフラにすでに多額の投資を行っています。LUGASおよびOASIS除外データベースとの接続には、絶え間ないリアルタイム通信が必要です。ここにセキュリティのギャップが発生した場合、ドイツのプレイヤー保護システム全体の完全性が危険にさらされることになります。したがって、ドイツのプロバイダーは、ラスベガスのリゾートと同様に、対応計画を常に更新する必要があります。

"カジノは、サイバー侵入口が広範囲にわたり、多額の資金を持ち、攻撃されても公の非難が目立たないため、機会主義的な標的となります。" - UNLV（ネバダ大学ラスベガス校）の研究者

ドイツの運営者にとって、技術的な信頼性はオプションではなく、存在の前提条件です。システムセキュリティを怠ることは、罰金だけでなく、貴重なGGLライセンスの剥奪というリスクを伴います。ネバダ州の規則は、規制当局との透明性が、長期的に公衆の信頼を維持するための唯一の方法であることを示しています。ドイツのプレイヤーは、国際的な基準がしばしば地域の規制に取り入れられるため、サイバーセキュリティ強化に向けたこの世界的傾向から間接的に恩恵を受けています。