Naruszenie danych w Gambling with Lives: cyberatak na Beacon dotknął organizację charytatywną

Cyberprzestępczość nie omija organizacji wspierających najbardziej bezbronnych członków społeczeństwa. Gambling with Lives, organizacja charytatywna wspierająca rodziny, które straciły bliskich w wyniku samobójstw związanych z hazardem, została niedawno poinformowana o masowej kradzieży danych. Atak nie był skierowany na własną infrastrukturę organizacji charytatywnej, ale na jej dostawcę oprogramowania, firmę Beacon. Firma ta specjalizuje się w zarządzaniu relacjami z klientami (CRM) i zarządza danymi dla ogromnej liczby instytucji kulturalnych i charytatywnych.

Wieści o incydencie odbiły się szerokim echem 6 sierpnia, kiedy liderzy organizacji zaalarmowali osoby dotknięte problemem za pośrednictwem poczty elektronicznej. Gorzką ironią jest to, że osoby już naznaczone traumatycznymi przeżyciami związanymi z hazardem, muszą teraz martwić się o bezpieczeństwo swoich danych osobowych. Incydent miał miejsce pod koniec lipca, ale pełny zakres naruszonych danych dopiero teraz staje się jasny. W branży, w której dyskrecja i zaufanie są najważniejszymi walutami, taki wyciek stanowi katastrofalne naruszenie zaufania.

Liczby i fakty

Skala ataku na Beacon jest ogromna. Firma wspiera ponad 1500 organizacji charytatywnych i kulturalnych w całym kraju. Gambling with Lives jest zatem tylko jedną z wielu dotkniętych podmiotów. Charles Ritchie, przewodniczący rady powierniczej Gambling with Lives, potwierdził w e-mailu do interesariuszy, że informacje organizacji zostały naruszone w wyniku naruszenia bezpieczeństwa cybernetycznego. Chociaż dokładna liczba naruszonych rekordów w Gambling with Lives nie została jawnie określona, wielkość dostawcy Beacon jasno pokazuje, że jest to systemowa porażka. Incydent rozpoczął się pod koniec lipca i od tego czasu spowodował chaos w infrastrukturze IT wielu organizacji pomocowych.

"Gambling with Lives zostało poinformowane, że jego dane zostały naruszone w wyniku naruszenia bezpieczeństwa cybernetycznego u jego zewnętrznego dostawcy CRM, firmy Beacon." - Charles Ritchie, Przewodniczący Rady Powierniczej w Gambling with Lives

Kontekst

Organizacja Gambling with Lives odgrywa kluczową rolę w debacie na temat zaostrzenia prawa hazardowego. Została założona przez rodziców, którzy stracili dzieci w wyniku samobójstw związanych z hazardem. Fakt, że wrażliwe dane tych osieroconych rodzin wpadły teraz w ręce nieuprawnionych osób, jest szczególnie delikatny. Beacon jest faktycznie uważany za nowoczesny standard zarządzania danymi w sektorze non-profit. Jednak taki atak podkreśla podatność, która powstaje, gdy wiele organizacji korzysta z tego samego dostawcy usług w chmurze. Eksperci IT nazywają to ryzykiem klastrowym. Jeśli centralny węzeł upada, setki podrzędnych organizacji są dotknięte jednocześnie.

Dlaczego ma to znaczenie dla graczy w Niemczech

Dla niemieckich graczy aktywnych w kasynach online z licencją Gemeinsame Glücksspielbehörde der Länder (GGL), ten incydent jest pilnym ostrzeżeniem. W Niemczech Interstate Treaty on Gambling 2021 (GlüStV 2021) ściśle reguluje sposób przetwarzania danych. Centralny system monitorowania LUGAS przechowuje dane w celu zapewnienia zgodności z limitem wpłat między dostawcami w wysokości 1000 euro miesięcznie i zapobiegania wielokrotnej grze. Ściśle monitorowany jest również limit 1 euro na obrót w przypadku wirtualnych gier na automatach. Jednakże, jeśli organizacje pomocowe lub centra doradztwa, do których zwraca się osoba zmagająca się z uzależnieniem, korzystają z niezabezpieczonego oprogramowania, nawet najlepsze regulacje GGL nie pomogą w przypadku wycieku danych u zewnętrznego dostawcy. Niemieccy gracze powinni upewnić się, że korzystają tylko z portali znajdujących się na oficjalnej liście białej GGL, ponieważ ci dostawcy muszą wykazać najwyższe standardy bezpieczeństwa dla swojej własnej infrastruktury IT. Niemniej jednak przypadek Beacon pokazuje, że zawsze należy pytać o koncepcję bezpieczeństwa IT przy ujawnianiu wrażliwych informacji zewnętrznym centrom doradztwa.

Co to oznacza dla kasyn z licencją GGL

Dostawcy z licencją GGL w Niemczech są pod stałą obserwacją. Podczas gdy nielegalni dostawcy z Curacao lub Malty często traktują ochronę danych pobieżnie, niemieccy operatorzy muszą wykazać, że ich systemy CRM i zewnętrzni dostawcy są certyfikowani. Incydent taki jak ten w Beacon spowodowałby natychmiastowe zgłoszenie do Federalnego Komisarza ds. Ochrony Danych i GGL w Niemczech. Kasyna muszą zapewnić, że ich partnerzy w zarządzaniu klientami nie staną się piętą achillesową. Zaufanie graczy jest najwyższym dobrem, zwłaszcza gdy chodzi o systemy blokowania takie jak OASIS. Bezpieczeństwo łańcucha danych jest równie ważne, jak bezpieczeństwo samej gry. Niemieccy dostawcy powinni potraktować ten incydent jako okazję do przeglądu własnych umów z dostawcami zewnętrznymi pod kątem klauzul dotyczących bezpieczeństwa cybernetycznego.