Nevada Aperta Regras: Cassinos Devem Reportar Ciberataques em 24 Horas

O mundo dos jogos de Las Vegas está sob constante ataque digital. Hackers estão cada vez mais visando as vastas quantidades de dados e fluxos financeiros gerenciados pelos principais operadores de resorts. Para combater essa ameaça em evolução, a Comissão de Jogos de Nevada implementou mudanças significativas nos requisitos de comunicação. Efetivamente a partir de agora, um prazo estrito de 24 horas se aplica, durante o qual um cassino deve notificar as autoridades sobre uma violação bem-sucedida. Anteriormente, as empresas tinham três dias completos para cumprir, o que se mostrou lento demais na prática.

Os reguladores estão respondendo a uma onda sem precedentes de ciberataques que abalou a capital americana do jogo em 2023. Especificamente, os incidentes na Caesars Entertainment e MGM Resorts International destacaram a vulnerabilidade da indústria. Enquanto a Caesars supostamente pagou $15 milhões em resgate para proteger dados de clientes, a MGM se recusou a pagar e enfrentou enormes interrupções operacionais custando mais de $100 milhões. Tais cifras atraem criminosos globalmente, que agora usam cada vez mais inteligência artificial para contornar barreiras de segurança.

Números e fatos

O nível de ameaça é real e mensurável. A empresa de cibersegurança Crowd Strike prevê um aumento de 89% este ano no uso de inteligência artificial por agentes de ameaças para ataques. Simultaneamente, os cassinos estão atualizando sua tecnologia para lutar com as mesmas ferramentas. No entanto, meses recentes mostram que a defesa técnica sozinha não é suficiente. A Wynn Resorts se tornou vítima do grupo ShinyHunters no início de 2025, com registros de aproximadamente 800.000 funcionários afetados. Os hackers exigiram um resgate de $1.5 milhão.

A Station Casinos também foi alvo em março. Entre 2007 e 2023, mais de 50 incidentes cibernéticos confirmados foram registrados envolvendo empresas de jogos de Nevada, com a frequência aumentando acentuadamente na última década. Como parte das novas regulamentações, a Comissão de Jogos de Nevada também atualizou sua terminologia. A pedido da indústria, o termo "incidente de cibersegurança" agora é usado oficialmente em vez de "ciberataque". Essa mudança visa aumentar a aceitação entre os licenciados, pois o termo soa mais neutro.

Contexto

Encurtar a janela de notificação de 72 para 24 horas foi controverso dentro da indústria. A Nevada Resort Association observou que fornecedores terceirizados muitas vezes precisam de 48 horas para notificar os cassinos sobre vazamentos. No entanto, o conselho permaneceu firme. Mike Dreitzer, Presidente do Conselho de Controle de Jogos de Nevada, enfatizou a necessidade de comunicação oportuna, mesmo que todos os detalhes ainda não sejam conhecidos nesse estágio inicial. Trata-se de estabelecer um contato inicial, um sinal para o regulador de que algo está errado.

"Foi importante para o Conselho que a notificação do incidente de cibersegurança ocorresse em 24 horas. Setenta e duas horas na prática eram simplesmente muito tempo. Modificamos os requisitos de comunicação para os licenciados daí em diante para que estivessem em conformidade com o que agora entendemos ser a melhor prática." - Mike Dreitzer, Presidente do Conselho de Controle de Jogos de Nevada

Além da notificação de 24 horas, os operadores agora devem apresentar um relatório detalhado de resposta a incidentes dentro de cinco dias. Alternativamente, eles podem solicitar uma reunião presencial com o Presidente do Conselho. Nesse caso, o prazo para o relatório escrito é estendido para 30 dias. Durante todo o processo de resolução, atualizações escritas são obrigatórias a cada 30 dias. O objetivo é garantir que o regulador não seja mais a última coisa na mente de uma empresa durante uma crise, como observou apropriadamente Kristi Torgerson, da divisão de aplicação da lei.

Por que isso importa para jogadores alemães

Para jogadores alemães ativos em cassinos online licenciados pela GGL, esta notícia de Las Vegas pode parecer distante, mas a segurança de TI e a proteção de dados são regulamentadas tão rigorosamente aqui. O Tratado Interstatal sobre Jogos de Azar de 2021 (GlüStV 2021) atribui imensa importância à integridade do sistema. Na Alemanha, todos os provedores licenciados devem estar conectados ao sistema central de supervisão LUGAS. Este sistema não apenas monitora o limite de depósito mensal de 1.000 Euros e o limite de 1 Euro por giro para slots, mas também estabelece altos padrões técnicos para proteção de dados.

Um ataque hacker a um cassino online alemão teria consequências imediatas para a acessibilidade e segurança de dados. Como os provedores alemães são estritamente regulamentados, eles também devem reportar incidentes de segurança imediatamente. A Autoridade Conjunta de Jogos dos Estados (GGL) mantém uma lista branca de empresas que atendem a esses requisitos rigorosos. Portanto, os jogadores devem garantir que jogam apenas com provedores que possuem licença alemã. Ao contrário de cassinos não regulamentados de Curaçao ou outras jurisdições offshore, a licença GGL oferece recursos legais e supervisão estatal para proteger os interesses dos jogadores em caso de vazamento de dados.

O que isso significa para cassinos licenciados pela GGL

Os desenvolvimentos em Nevada podem servir como modelo para um aperto adicional nas regulamentações na Europa. Cassinos licenciados pela GGL já estão investindo pesadamente em sua infraestrutura de TI para atender aos requisitos do GlüStV 2021. A conectividade através do LUGAS e do banco de dados de exclusão OASIS requer comunicação constante em tempo real. Se ocorrerem lacunas de segurança aqui, a integridade de todo o sistema de proteção ao jogador alemão estaria em jogo. Provedores alemães devem, portanto, atualizar constantemente seus planos de resposta, muito parecido com os resorts em Las Vegas.

"Cassinos são alvos oportunistas porque têm um extenso conjunto de pontos de entrada cibernéticos, têm muito dinheiro e o clamor público é menos perceptível quando são atacados." - Pesquisadores da UNLV (University of Nevada, Las Vegas)

Para operadores na Alemanha, a confiabilidade técnica não é um extra opcional, mas um pré-requisito para a existência. Negligenciar a segurança do sistema arrisca não apenas multas, mas a revogação da valiosa licença GGL. As regras de Nevada demonstram que a transparência com o regulador é a única maneira de manter a confiança pública a longo prazo. Jogadores alemães se beneficiam indiretamente dessa tendência global em direção a uma maior cibersegurança, pois os padrões internacionais frequentemente encontram seu caminho nas regulamentações locais.