Nevada sugriežtina taisykles: kazino privalo pranešti apie kibernetinius išpuolius per 24 valandas

Las Vegaso lošimų pasaulis nuolat patiria skaitmeninius puolimus. Programišiai vis dažniau taikosi į didelius duomenų kiekius ir finansinius srautus, kuriuos valdo pagrindiniai kurortų operatoriai. Siekdama pažaboti šią besikeičiančią grėsmę, Nevados lošimų komisija įgyvendino reikšmingus pranešimų reikalavimų pakeitimus. Nuo šiol taikomas griežtas 24 valandų terminas, per kurį kazino privalo pranešti valdžios institucijoms apie sėkmingą pažeidimą. Anksčiau bendrovės turėjo tris pilnas dienas, kad tai padarytų, tačiau praktiškai tai pasirodė per lėta.

Reguliuotojai reaguoja į precedento neturinčią kibernetinių atakų bangą, kuri 2023 m. sukrėtė Amerikos lošimų sostinę. Konkrečiai, incidentai „Caesars Entertainment“ ir „MGM Resorts International“ pabrėžė pramonės pažeidžiamumą. Nors „Caesars“ pranešė sumokėjusi 15 milijonų dolerių išpirką už klientų duomenų apsaugą, „MGM“ atsisakė mokėti ir patyrė didelių veiklos sutrikimų, kainavusių daugiau nei 100 milijonų dolerių. Tokios sumos pritraukia nusikaltėlius visame pasaulyje, kurie dabar vis dažniau naudoja dirbtinį intelektą saugumo barjerams apeiti.

Skaičiai ir faktai

Grėsmės lygis yra realus ir pamatuojamas. Kibernetinio saugumo įmonė „Crowd Strike“ prognozuoja, kad šiais metais grėsmių veikėjų, naudojančių dirbtinį intelektą atakoms, padaugės 89%. Tuo pat metu kazino atnaujina savo technologijas, kad kovotų tomis pačiomis priemonėmis. Tačiau pastarųjų mėnesių įvykiai rodo, kad vien techninės gynybos nepakanka. „Wynn Resorts“ 2025 m. pradžioje tapo „ShinyHunters“ grupės auka, paveikta maždaug 800 000 darbuotojų įrašų. Programišiai reikalavo 1,5 milijono dolerių išpirkos.

„Station Casinos“ taip pat buvo taikinys kovą. Nuo 2007 m. iki 2023 m. tarp Nevados lošimų bendrovių buvo užfiksuota daugiau nei 50 patvirtintų kibernetinių incidentų, o pastarąjį dešimtmetį jų dažnumas smarkiai išaugo. Kaip dalis naujų taisyklių, Nevados lošimų komisija taip pat atnaujino savo terminologiją. Pramonės prašymu, oficialiai vietoj „kibernetinės atakos“ (cyberattack) dabar naudojamas terminas „kibernetinio saugumo incidentas“ (cybersecurity incident). Šis pakeitimas skirtas padidinti licencijų gavėjų priėmimą, nes terminas skamba neutraliau.

Fonas

Pranešimo termino sutrumpinimas nuo 72 iki 24 valandų buvo ginčytinas pramonėje. Nevados kurortų asociacija pažymėjo, kad trečiųjų šalių tiekėjams dažnai reikia 48 valandų, kad jie galėtų pranešti kazino apie nutekėjimus. Nepaisant to, valdyba liko tvirta. Mike Dreitzer, Nevados lošimų kontrolės valdybos pirmininkas, pabrėžė savalaikės komunikacijos poreikį, net jei ne visos detalės dar yra žinomos ankstyvame etape. Svarbiausia – užmegzti pradinį kontaktą, signalą reguliuotojui, kad kažkas negerai.

"Valdybai buvo svarbu, kad apie kibernetinio saugumo incidentą būtų pranešta per 24 valandas. Septyniasdešimt dvi valandos praktiškai buvo tiesiog per ilgas laikas. Mes pakeitėme licencijų gavėjų pranešimo reikalavimus, kad jie atitiktų tai, ką dabar laikome geriausia praktika." - Mike Dreitzer, Nevados lošimų kontrolės valdybos pirmininkas

Be 24 valandų pranešimo, operatoriai dabar privalo pateikti išsamų incidentų valdymo ataskaitą per penkias dienas. Alternatyviai, jie gali paprašyti asmeninio susitikimo su Valdybos pirmininku. Tokiu atveju rašytinės ataskaitos terminas pratęsiamas iki 30 dienų. Viso sprendimo proceso metu kas 30 dienų privalomi rašytiniai atnaujinimai. Tikslas – užtikrinti, kad reguliuotojas nebūtų paskutinis dalykas, apie kurį bendrovė galvoja krizės metu, kaip taikliai pažymėjo Kristi Torgerson iš priežiūros skyriaus.

Kodėl tai svarbu Vokietijos žaidėjams

Vokietijos žaidėjams, aktyviai veikiantiems GGL licencijuotuose internetiniuose kazino, šios naujienos iš Las Vegaso gali atrodyti tolimos, tačiau IT saugumas ir duomenų apsauga čia taip pat griežtai reguliuojamos. Tarpvalstybinis lošimų sutarimas 2021 m. (GlüStV 2021) teikia didelę reikšmę sistemų vientisumui. Vokietijoje visi licencijuoti paslaugų teikėjai privalo būti prijungti prie centrinės LUGAS priežiūros sistemos. Ši sistema ne tik stebi 1000 eurų mėnesio įnašo limitą ir 1 euro statymo limitą lošimo automatais, bet ir nustato aukštus techninius duomenų apsaugos reikalavimus.

Programišių ataka prieš Vokietijos internetinį kazino turėtų tiesioginių pasekmių pasiekiamumui ir duomenų saugumui. Kadangi Vokietijos paslaugų teikėjai yra griežtai reguliuojami, jie taip pat privalo nedelsdami pranešti apie saugumo incidentus. Jungtinė Valstybių lošimų institucija (GGL) palaiko kompanijų, atitinkančių šiuos griežtus reikalavimus, baltąją knygą. Todėl žaidėjai turėtų įsitikinti, kad žaidžia tik su Vokietijos licenciją turinčiais paslaugų teikėjais. Skirtingai nei nereguliuojami kazino iš Kiurasao ar kitų užjūrio jurisdikcijų, GGL licencija suteikia teisinę pagalbą ir valstybės priežiūrą žaidėjų interesams apsaugoti duomenų nutekėjimo atveju.

Ką tai reiškia GGL licencijuotiems kazino

Įvykiai Nevadoje galėtų tapti modeliu tolesniam Europos reguliavimo sugriežtinimui. GGL licencijuoti kazino jau daug investuoja į savo IT infrastruktūrą, kad atitiktų GlüStV 2021 reikalavimus. Ryšys per LUGAS ir OASIS išskyrimo duomenų bazę reikalauja nuolatinio realaus laiko ryšio. Jei čia atsirastų saugumo spragos, kiltų pavojus visos Vokietijos žaidėjų apsaugos sistemos vientisumui. Todėl Vokietijos paslaugų teikėjai, panašiai kaip ir Las Vegaso kurortai, turi nuolat atnaujinti savo reagavimo planus.

"Kazino yra oportunistiniai taikiniai, nes jie turi platų kibernetinių įėjimo taškų spektrą, turi daug pinigų, o viešas pasipiktinimas yra mažiau pastebimas jiems puolant." - UNLV (Nevados, Las Vegaso universiteto) mokslininkai

Vokietijos operatoriams techninis patikimumas yra ne pasirenkama papildoma paslauga, o egzistencijos prielaida. Jei nepaisysite sistemos saugumo, rizikuosite ne tik baudomis, bet ir vertingos GGL licencijos panaikinimu. Nevados taisyklės rodo, kad skaidrumas su reguliuotoju yra vienintelis būdas ilgainiui išlaikyti visuomenės pasitikėjimą. Vokietijos žaidėjai netiesiogiai gauna naudos iš šios pasaulinės tendencijos didinti kibernetinį saugumą, nes tarptautiniai standartai dažnai patenka į vietinius reglamentus.