Nevada zaostruje pravila: Kazinoji morajo kibernetske napade prijaviti v 24 urah

Svet igralništva v Las Vegasu je pod nenehnim digitalnim obleganjem. Vlomilci vse bolj ciljajo na ogromne količine podatkov in finančne tokove, s katerimi upravljajo veliki hotelski operaterji. Da bi se zoperstavili tej razvijajoči se grožnji, je Nevada Gaming Commission uvedla pomembne spremembe v zahtevah glede poročanja. Takoj začne veljati strog 24-urni rok, v katerem mora kazino obvestiti organe o uspešnem vdoru. Prej so imela podjetja tri dni časa za izpolnitev te zahteve, kar se je v praksi izkazalo za prepočasno.

Regulatorji se odzivajo na izjemen val kibernetskih napadov, ki so pretresli ameriško igralniško prestolnico leta 2023. Zlasti incidenta pri Caesars Entertainment in MGM Resorts International sta poudarila ranljivost industrije. Medtem ko je Caesars domnevno plačal 15 milijonov dolarjev odkupnine za zaščito podatkov strank, je MGM zavrnil plačilo in se soočil z ogromnimi motnjami v poslovanju, ki so stale več kot 100 milijonov dolarjev. Takšne številke privabljajo kriminalce po vsem svetu, ki zdaj vse bolj uporabljajo umetno inteligenco za obvladovanje varnostnih ovir.

Številke in dejstva

Stopnja grožnje je resnična in merljiva. Podjetje za kibernetsko varnost Crowd Strike napoveduje 89-odstotno povečanje uporabe umetne inteligence s strani napadalcev pri napadih v tem letu. Hkrati kazinoji nadgrajujejo svojo tehnologijo, da bi se z istimi orodji borili nazaj. Vendar zadnji meseci kažejo, da tehnična obramba sama po sebi ni dovolj. Wynn Resorts je v začetku leta 2025 postal žrtev skupine ShinyHunters, pri čemer je bilo prizadetih približno 800.000 zaposlenih. Hekerji so zahtevali odkupnino v višini 1,5 milijona dolarjev.

Marcha je bil tarča tudi Station Casinos. Med letoma 2007 in 2023 je bilo zabeleženih več kot 50 potrjenih kibernetskih incidentov v igralniških podjetjih v Nevadi, pri čemer se je pogostnost v zadnjem desetletju močno povečala. Kot del novih predpisov je Nevada Gaming Commission posodobila tudi svojo terminologijo. Na zahtevo industrije se izraz "kibernetski incident" zdaj uradno uporablja namesto "kibernetski napad". Ta sprememba naj bi povečala sprejetost med imetniki licenc, saj izraz zveni bolj nevtralno.

Ozadje

Skrajšanje roka za prijavo s 72 na 24 ur je bilo v industriji kontroverzno. Nevada Resort Association je opozorila, da tretjeosebni ponudniki pogosto potrebujejo 48 ur, da obvestijo kazinoje o puščanju podatkov. Kljub temu je odbor vztrajal pri svojem. Mike Dreitzer, predsednik Nevada Gaming Control Board, je poudaril potrebo po pravočasni komunikaciji, tudi če vse podrobnosti še niso znane v tako zgodnji fazi. Gre za vzpostavitev začetnega stika, signal regulatorju, da je nekaj narobe.

"Za odbor je bilo pomembno, da je bilo obvestilo o incidentu kibernetske varnosti opravljeno v 24 urah. Sedemdesetdva ur v praksi je bilo preprosto predolgo. Spremenili smo zahteve glede poročanja za imetnike licenc, da bi ustrezali temu, kar zdaj razumemo kot najboljšo prakso." - Mike Dreitzer, predsednik Nevada Gaming Control Board

Poleg 24-urnega obvestila morajo operaterji zdaj v petih dneh predložiti podroben poročilo o odzivu na incident. Alternativno lahko zaprosijo za osebno srečanje s predsednikom odbora. V tem primeru se rok za pisno poročilo podaljša na 30 dni. Ves čas reševanja incidenta so obvezna pisna obvestila vsakih 30 dni. Cilj je zagotoviti, da regulator med krizo ni več zadnja skrb podjetja, kot je ustrezno opozorila Kristi Torgerson iz oddelka za izvrševanje.

Zakaj je to pomembno za nemške igralce

Za nemške igralce, ki delujejo v spletnih kazinojih z licenco GGL, se te novice iz Las Vegasa morda zdijo oddaljene, vendar sta varnost IT in varstvo podatkov tukaj prav tako strogo urejena. Meddržavna pogodba o igrah na srečo 2021 (GlüStV 2021) daje velik pomen celovitosti sistema. V Nemčiji morajo vsi licencirani ponudniki biti povezani s centralnim nadzornim sistemom LUGAS. Ta sistem ne samo spremlja 1.000 evrov omejitev mesečnega pologa in 1 evro omejitev na vrtljaj za avtomate, ampak tudi postavlja visoke tehnične standarde za varstvo podatkov.

Napad hekerjev na nemški spletni kazino bi imel takojšnje posledice za dostopnost in varnost podatkov. Ker so nemški ponudniki strogo regulirani, morajo tudi oni takoj prijaviti varnostne incidente. Skupni organ za igre na srečo držav (GGL) vzdržuje belo listo podjetij, ki izpolnjujejo te stroge zahteve. Igralci naj zato zagotovijo, da igrajo samo pri ponudnikih z nemško licenco. V nasprotju z nereguliranimi kazinoji s Curacao ali drugih offshore jurisdikcij, licenca GGL zagotavlja pravno sredstvo in državni nadzor za zaščito interesov igralcev v primeru puščanja podatkov.

Kaj to pomeni za kazinoje z licenco GGL

Dogodki v Nevadi bi lahko služili kot model za nadaljnje zaostrovanje predpisov v Evropi. Kazinoji z licenco GGL že močno vlagajo v svojo IT infrastrukturo, da bi izpolnili zahteve GlüStV 2021. Povezljivost preko LUGAS in baze podatkov o izključitvah OASIS zahteva stalno komunikacijo v realnem času. Če bi tu prišlo do varnostnih vrzel, bi bila ogrožena celotna integriteta nemškega sistema zaščite igralcev. Nemški ponudniki morajo zato nenehno posodabljati svoje načrte odzivanja, podobno kot hoteli v Las Vegasu.

"Kazinoji so oportunistične tarče, ker imajo obsežen nabor kibernetskih vstopnih točk, imajo veliko denarja in javna ogorčenost je manj opazna, ko so napadeni." - Raziskovalci z UNLV (University of Nevada, Las Vegas)

Za operaterje v Nemčiji tehnična zanesljivost ni opcijska, temveč predpogoj za obstoj. Zanemarjanje sistemske varnosti tvega ne samo globe, temveč tudi odvzem dragocene licence GGL. Pravila Nevade kažejo, da je preglednost z regulatorjem edini način za ohranjanje zaupanja javnosti dolgoročno. Nemški igralci imajo od tega globalnega trenda povečane kibernetske varnosti posredno korist, saj mednarodni standardi pogosto najdejo pot v lokalne predpise.