Nevada sprísňuje pravidlá: Kasína musia nahlásiť kybernetické útoky do 24 hodín

Svet hazardných hier v Las Vegas je pod neustálym digitálnym útokom. Hackeri čoraz častejšie cielia na obrovské množstvo dát a finančných tokov, ktoré spravujú veľkí prevádzkovatelia rezortov. V reakcii na túto vyvíjajúcu sa hrozbu zaviedla Nevadská herná komisia významné zmeny v požiadavkách na nahlasovanie. Okamžite platí prísny 24-hodinový termín, počas ktorého musí kasíno oznámiť úradom úspešné narušenie bezpečnosti. Predtým mali spoločnosti na dodržanie lehoty tri celé dni, čo sa v praxi ukázalo ako príliš pomalé.

Regulátori reagujú na bezprecedentnú vlnu kybernetických útokov, ktorá otriasla americkým centrom hazardných hier v roku 2023. Konkrétne incidenty v spoločnostiach Caesars Entertainment a MGM Resorts International poukázali na zraniteľnosť priemyslu. Zatiaľ čo Caesars údajne zaplatilo 15 miliónov dolárov za výkupné na ochranu zákazníckych údajov, MGM odmietlo zaplatiť a čelilo masívnym prevádzkovým narušeniam s nákladmi presahujúcimi 100 miliónov dolárov. Tieto čísla priťahujú zločincov po celom svete, ktorí teraz čoraz častejšie používajú umelú inteligenciu na obchádzanie bezpečnostných bariér.

Čísla a fakty

Hrozba je reálna a merateľná. Spoločnosť zaoberajúca sa kybernetickou bezpečnosťou Crowd Strike predpovedá 89% nárast využívania umelej inteligencie útočníkmi v tomto roku. Kasína zároveň modernizujú svoju technológiu, aby mohli bojovať rovnakými nástrojmi. Nedávne mesiace však ukazujú, že samotná technická obrana nestačí. Wynn Resorts sa stal obeťou skupiny ShinyHunters na začiatku roka 2025, pričom boli ovplyvnené záznamy približne 800 000 zamestnancov. Hackeri požadovali výkupné vo výške 1,5 milióna dolárov.

Stanice Casinos boli tiež terčom v marci. V rokoch 2007 až 2023 bolo zaznamenaných viac ako 50 potvrdených kybernetických incidentov týkajúcich sa nevadských herných spoločností, pričom frekvencia v poslednom desaťročí prudko stúpla. V rámci nových nariadení Nevadská herná komisia aktualizovala aj svoju terminológiu. Na žiadosť priemyslu sa teraz oficiálne používa termín „incident v oblasti kybernetickej bezpečnosti“ namiesto „kybernetický útok“. Tento posun má zvýšiť akceptáciu medzi držiteľmi licencií, pretože tento termín znie neutrálnejšie.

Pozadie

Skrátenie lehoty na nahlasovanie zo 72 na 24 hodín bolo v rámci priemyslu kontroverzné. Asociácia nevadských rezortov poznamenala, že dodávatelia tretích strán často potrebujú sami 48 hodín na to, aby informovali kasína o únikoch. Napriek tomu predstavenstvo zostalo neústupné. Mike Dreitzer, predseda Nevadskej kontrolnej hernej rady, zdôraznil potrebu včasnej komunikácie, aj keď v takto skorej fáze ešte nie sú známe všetky podrobnosti. Ide o nadviazanie prvého kontaktu, signál regulátorovi, že niečo nie je v poriadku.

„Pre radu bolo dôležité, aby bolo nahlásenie incidentu v oblasti kybernetickej bezpečnosti uskutočnené do 24 hodín. Sedemdesiatdve hodín v praxi bolo príliš dlho. Následne sme upravili požiadavky na nahlasovanie pre držiteľov licencií, aby zodpovedali tomu, čo teraz považujeme za najlepšiu prax.“ - Mike Dreitzer, predseda Nevadskej kontrolnej hernej rady

Okrem 24-hodinového upozornenia musia prevádzkovatelia teraz do piatich dní predložiť podrobnú správu o reakcii na incident. Alternatívne si môžu vyžiadať osobné stretnutie s predsedom rady. V takom prípade sa lehota na písomnú správu predlžuje na 30 dní. Počas celého procesu riešenia sú povinné písomné aktualizácie každých 30 dní. Cieľom je zabezpečiť, aby regulátor už nebol pri kríze na poslednom mieste v mysli spoločnosti, ako trefne poznamenala Kristi Torgerson z oddelenia presadzovania práva.

Prečo je to dôležité pre nemeckých hráčov

Pre nemeckých hráčov, ktorí pôsobia v online kasínach s licenciou GGL, môžu tieto správy z Las Vegas pôsobiť vzdialene, ale IT bezpečnosť a ochrana údajov sú aj tu regulované rovnako prísne. Medzištátna zmluva o hazardných hrách 2021 (GlüStV 2021) kladie obrovský dôraz na integritu systémov. V Nemecku musia byť všetci držitelia licencií pripojení k centrálnej monitorovacej jednotke LUGAS. Tento systém nielen monitoruje 1 000 eurový mesačný limit vkladu a 1 eurový limit na zatočenie pri slotoch, ale tiež stanovuje vysoké technické štandardy pre ochranu údajov.

Hackerský útok na nemecké online kasíno by mal okamžité dôsledky na dostupnosť a bezpečnosť údajov. Keďže nemeckí prevádzkovatelia sú prísne regulovaní, musia tiež okamžite nahlasovať bezpečnostné incidenty. Spoločný úrad pre hazardné hry štátov (GGL) udržiava zoznam povolených spoločností, ktoré spĺňajú tieto prísne požiadavky. Hráči by sa preto mali uistiť, že hrajú iba u prevádzkovateľov s nemeckou licenciou. Na rozdiel od neregulovaných kasín z Curacaa alebo iných offshore jurisdikcií, licencia GGL poskytuje právne možnosti a štátny dohľad na ochranu záujmov hráčov v prípade úniku údajov.

Čo to znamená pre kasína s licenciou GGL

Vývoj v Nevade by mohol slúžiť ako model pre ďalšie sprísnenie regulácií v Európe. Kasína s licenciou GGL už teraz investujú do svojej IT infraštruktúry, aby splnili požiadavky GlüStV 2021. Pripojenie prostredníctvom LUGAS a databázy vylúčených osôb OASIS vyžaduje neustálu komunikáciu v reálnom čase. Ak by tu došlo k bezpečnostným medzerám, bola by ohrozená integrita celého systému ochrany hráčov v Nemecku. Nemeckí prevádzkovatelia preto musia neustále aktualizovať svoje plány reakcie, podobne ako rezorty v Las Vegas.

„Kasína sú príležitostné ciele, pretože majú rozsiahly rad kybernetických vstupných bodov, veľa peňazí a verejný odpor je menej nápadný, keď sú napadnuté.“ - Výskumníci z UNLV (University of Nevada, Las Vegas)

Pre prevádzkovateľov v Nemecku nie je technická spoľahlivosť voliteľným doplnkom, ale predpokladom existencie. Zanedbanie bezpečnosti systémov riskuje nielen pokuty, ale aj odobratie cennej licencie GGL. Nevadské pravidlá ukazujú, že transparentnosť voči regulátorovi je jediným spôsobom, ako si dlhodobo udržať dôveru verejnosti. Nemeckí hráči majú z tohto globálneho trendu smerom k zvýšenej kybernetickej bezpečnosti nepriamy úžitok, pretože medzinárodné štandardy si často nachádzajú cestu do miestnych predpisov.