Farlig skadlig kod dold bakom olagliga kasinosajter

Den glittriga världen av onlinespel har en mörk baksida som sträcker sig långt bortom förlorade satsningar. Nya rön från säkerhetsföretaget Infoblox visar att ett stort antal illegala kasinowebbplatser endast tjänar som en fasad för högst farliga cyberaktörer. Besökare på dessa webbplatser riskerar inte bara sina pengar utan öppnar också dörrarna för statligt finansierat spionage och sofistikerad skadlig kod. Problemet är inte begränsat till Asien, eftersom brottslingar specifikt utnyttjar infrastrukturen hos västerländska molnjättar.

Säkerhetsforskare varnar starkt för att avfärda besök på sådana webbplatser som ren tidsfördriv. Ofta döljer dessa till synes enkla kasinomallar komplexa nätverk som används för spionage och distribution av skadlig kod. Eftersom webbplatserna ofta ser ut som vanliga, om än av låg kvalitet, kasinon, kategoriserar säkerhetssystem dem ofta som enkla policyöverträdelser på arbetsplatsen snarare än massiva cyberattacker. Detta feltänk är precis vad angripare räknar med.

Siffror och fakta

Enligt den aktuella rapporten från Infoblox spåras cirka 1,7 miljoner kinesiskspråkiga kasinowebbplatser som möjliggör illegal hasardspel. Dessa plattformar erbjuder inte bara spel utan stöder aktivt nordkoreansk penningtvätt och skatteflykt. Ett särskilt farligt verktyg i detta ekosystem är PeckBirdy-ramverket. Detta är ett skriptbaserat system som används av Kina-allierade APT-grupper (Advanced Persistent Threat) sedan 2023. I en kampanj injicerades skript på kasinowebbplatser som visade falska programuppdateringar för att locka offer att ladda ner skadlig kod.

Intressant nog utnyttjar dessa kriminella nätverk resurser från stora amerikanska hostingföretag som Amazon Web Services, Microsoft, Cloudflare och Google. En rapport från juli 2026 från FN:s narkotika- och brottsbekämpningskontor (UNODC) förstärker den ekonomiska skalan: onlinebedrägerier ledde till uppskattade förluster mellan 88,3 miljarder och 114,1 miljarder dollar under 2025 i Östasien, Sydostasien, Australien och Nya Zeeland. Cirka 3 procent av Infoblox företagskunder har redan kommit i kontakt med en PeckBirdy-domän.

Bakgrund

Fenomenet "infrastrukturtvätt" gör spårningen svår. Företag som Funnull hyr IP-adresser från stora leverantörer och gör sedan dessa resurser tillgängliga för tvivelaktiga klienter. Zach Edwards, en hotforskare på Infoblox, betonar att media och säkerhetsgemenskapen har ignorerat dessa webbplatser alldeles för länge eftersom ämnet är komplicerat och förvirrande. Webbplatserna använder ofta identiska designteman, vilket gör det svårt att skilja mellan ett enkelt illegalt kasino och en högst farlig spionplattform.

"Det viktigaste för försvarare att göra är att sluta ignorera kasinodomäner. En varning om ett kinesiskspråkigt kasino eller vuxen-domän som stängs ner som en policyöverträdelse för anställda är precis det resultat som PeckBirdy-operatörerna räknar med." - Zach Edwards, Staff Threat Researcher på Infoblox

Utöver tekniska hot finns fenomenet "scambling" – en blandning av scam och gambling. Här kan användare lägga vad, men vinster betalas aldrig ut. Dessa webbplatser verkar efter inloggning med automatiserade attacker, såsom att blockera insättningsköer eller tömma saldon via manipulerade konton.

Varför det är viktigt för tyska spelare

För spelare i Tyskland är faran verklig när de rör sig utanför den reglerade marknaden. Den tyska statens spelavtal 2021 (GlüStV 2021) skapades specifikt för att erbjuda en säker plats. De som spelar hos leverantörer utan tysk licens går in i en miljö där tekniskt skydd mot skadlig kod som PeckBirdy inte garanteras. I Tyskland säkerställer de statliga spelmyndigheterna (GGL) genom vitlistan att endast leverantörer som följer de strängaste IT-säkerhetsstandarderna tillåts.

En viktig skyddsfaktor i det tyska systemet är kopplingen till LUGAS (Limit och Utvärderingssystem). Detta förhindrar inte bara att den månatliga insättningsgränsen på 1 000 euro överskrids, utan säkerställer också att spelarnas identitet verifieras tydligt. 1-eurogränsen per snurr för onlineslots tjänar också spelarskyddet. De som spelar på oreglerade, ofta asiatiska webbplatser riskerar dock att deras data missbrukas för identitetsstöld, eftersom det inte finns någon tillsyn från GGL.

Vad det innebär för GGL-licensierade kasinon

Licensierade tyska kasinon måste ta kraftigt avstånd från dessa svarta får. För operatörer med en GGL-licens innebär det aktuella hotlandskapet att deras investeringar i cybersäkerhet och regelefterlevnad är ett genuint kvalitetsmärke. Medan illegala webbplatser distribuerar skadlig kod och förskingrar medel, erbjuder GGL-kasinon juridisk säkerhet. Användning av säkra betalningsleverantörer och efterlevnad av dataskyddsbestämmelser skyddar spelare från de scenarier som beskrivs i Infoblox-rapporten, såsom kontokapningar eller insättningsattacker.

Många illegala casinosajter använder infrastruktur från företag som Amazon eller Google, ofta via stulna konton eller mellanhänder. Detta ger skadliga domäner en känsla av legitimitet och gör dem svårare att blockera med säkerhetsprogramvara.

Varför är det säkrare att spela på casinon med GGL-licens?

Leverantörer på den tyska vitlistan är föremål för strikta IT-kontroller och GlüStV 2021, som förhindrar manipulation och distribution av skadlig kod. Dessutom skyddas spelarnas medel av tysk reglering och övervakningssystem som LUGAS.