Databrud hos Gambling with Lives: Beacon-cyberangrep rammer veldedighet

Nettkriminalitet stopper ikke ved organisasjoner som er dedikert til å støtte de mest sårbare medlemmene av samfunnet. Gambling with Lives, en veldedighetsorganisasjon som støtter familier som er berørt av selvmord relatert til gambling, ble nylig informert om et massivt datatyveri. Angrepet var ikke rettet mot veldedighetsorganisasjonens egen infrastruktur, men mot programvareleverandøren deres, Beacon. Dette selskapet spesialiserer seg på Customer Relationship Management (CRM) og håndterer data for et stort antall kulturelle og veldedige institusjoner.

Nyheten om hendelsen skapte bølger 6. august da organisasjonens ledere advarte de berørte via e-post. Det er en bitter ironi at mennesker som allerede er preget av traumatiske opplevelser knyttet til gambling, nå også må bekymre seg for sikkerheten til sin personlige informasjon. Hendelsen skjedde sent i juli, men det fulle omfanget av de kompromitterte dataene blir først nå klart. I en bransje der diskresjon og tillit er de viktigste valutaene, representerer en slik lekkasje et katastrofalt tillitsbrudd.

Tall og fakta

Omfanget av angrepet på Beacon er enormt. Selskapet støtter over 1500 veldedige og kulturelle organisasjoner over hele landet. Gambling with Lives er dermed bare en av mange berørte enheter. Charles Ritchie, styreleder i Gambling with Lives, bekreftet i en e-post til interessenter at organisasjonens informasjon ble kompromittert i cybersikkerhetsbruddet. Selv om det eksakte antallet berørte poster hos Gambling with Lives ikke ble kvantifisert eksplisitt, gjør størrelsen på leverandøren Beacon det klart at dette er et systemsvikt. Hendelsen startet sent i juli og har siden forårsaket kaos i IT-infrastrukturen til mange hjelpeorganisasjoner.

"Gambling with Lives ble informert om at deres informasjon var kompromittert i et cybersikkerhetsbrudd hos deres tredjeparts CRM-leverandør Beacon." - Charles Ritchie, styreleder i Gambling with Lives

Bakgrunn

Organisasjonen Gambling with Lives spiller en sentral rolle i debatten om strengere gamblinglover. Den ble grunnlagt av foreldre som mistet barna sine til selvmord relatert til gambling. Det faktum at sensitive data fra disse etterlatte familiene nå har falt i hendene på uautoriserte personer, er spesielt sensitivt. Beacon regnes faktisk som en moderne standard for databehandling i ideell sektor. Et slikt angrep understreker imidlertid sårbarheten som oppstår når mange organisasjoner bruker samme skyleverandør. IT-eksperter refererer til dette som en klynge-risiko. Hvis sentralnoden faller, blir hundrevis av underordnede organisasjoner berørt samtidig.

Hvorfor det betyr noe for tyske spillere

For tyske spillere som er aktive i nettcasinoer med lisens fra Gemeinsame Glücksspielbehörde der Länder (GGL), er denne hendelsen en presserende advarsel. I Tyskland regulerer Interstate Treaty on Gambling 2021 (GlüStV 2021) strengt hvordan data må behandles. Det sentrale overvåkingssystemet LUGAS lagrer data for å sikre overholdelse av grensen for innskudd på 1000 euro per måned på tvers av leverandører og for å forhindre flerspill. Overholdelse av 1-euro-grensen per spinn for virtuelle spilleautomater overvåkes også strengt. Men hvis hjelpeorganisasjoner eller rådgivningssentre som man besøker ved fare for avhengighet, bruker usikker programvare, hjelper ikke engang den beste GGL-reguleringen mot et datalekk hos en tredjepartsleverandør. Tyske spillere bør sørge for at de kun bruker portaler på den offisielle GGL-hvitlisten, da disse leverandørene må bevise de høyeste sikkerhetsstandardene for sin egen IT. Likevel viser Beacon-saken at man alltid bør spørre om IT-sikkerhetskonseptet ved å oppgi sensitiv informasjon til eksterne rådgivningssentre.

Hva det betyr for GGL-lisensierte casinoer

GGL-lisensierte leverandører i Tyskland er under konstant observasjon. Mens ulovlige leverandører fra Curacao eller Malta ofte håndterer databeskyttelse løst, må tyske operatører bevise at deres CRM-systemer og tredjepartsleverandører er sertifisert. En hendelse som den hos Beacon ville utløse en umiddelbar rapportering til Federal Commissioner for Data Protection og GGL i Tyskland. Casinoer må sikre at deres kundehåndteringspartnere ikke blir en akilleshæl. Spillertillit er den høyeste verdien, spesielt når det gjelder blokkeringssystemer som OASIS. Sikkerheten i datakjeden er like viktig som selve spillet. Tyske leverandører bør benytte anledningen til å gjennomgå sine egne tredjepartskontrakter for cybersikkerhetsklausuler.