Nevada skärper reglerna: Kasinon måste rapportera cyberattacker inom 24 timmar

Världen av spel i Las Vegas är under konstant digital belägring. Hackare riktar sig allt oftare mot de enorma mängder data och finansiella flöden som hanteras av stora resortoperatörer. För att motverka detta ständigt utvecklande hot har Nevada Gaming Commission infört betydande ändringar i rapporteringskraven. Omedelbart gäller en strikt tidsfrist på 24 timmar, inom vilken ett kasino måste underrätta myndigheterna om ett lyckat intrång. Tidigare hade företag tre hela dagar på sig att följa, vilket visade sig vara för långsamt i praktiken.

Regulatorerna reagerar på en oöverträffad våg av cyberattacker som skakade den amerikanska spelhuvudstaden 2023. Specifikt belyste incidenterna hos Caesars Entertainment och MGM Resorts International branschens sårbarhet. Medan Caesars enligt uppgift betalade 15 miljoner dollar i lösesumma för att skydda kunddata, vägrade MGM att betala och drabbades av massiva driftstörningar som kostade över 100 miljoner dollar. Sådana summor lockar kriminella globalt, som nu allt oftare använder artificiell intelligens för att kringgå säkerhetsbarriärer.

Siffror och fakta

Hotnivån är både verklig och mätbar. Cybersäkerhetsföretaget Crowd Strike förutspår en ökning med 89 % i år av hotaktörer som använder artificiell intelligens för attacker. Samtidigt uppgraderar kasinon sin teknik för att slå tillbaka med samma verktyg. De senaste månaderna visar dock att tekniskt försvar ensamt inte räcker. Wynn Resorts drabbades av ShinyHunters-gruppen i början av 2025, med uppgifter om cirka 800 000 anställda som påverkats. Hackarna krävde en lösesumma på 1,5 miljoner dollar.

Station Casinos drabbades också i mars. Mellan 2007 och 2023 registrerades över 50 bekräftade cyberincidenter som involverade spelbolag i Nevada, med en skarp ökning av frekvensen under det senaste decenniet. Som en del av de nya reglerna uppdaterade Nevada Gaming Commission även sin terminologi. På branschens begäran används nu termen "cybersäkerhetsincident" officiellt istället för "cyberattack". Denna ändring syftar till att öka acceptansen bland licenstagare, eftersom termen låter mer neutral.

Bakgrund

Förkortningen av anmälningsfönstret från 72 till 24 timmar var kontroversiell inom branschen. Nevada Resort Association noterade att tredjepartsleverantörer ofta själva behöver 48 timmar för att anmäla läckor till kasinon. Ändå stod styrelsen fast vid sitt beslut. Mike Dreitzer, ordförande för Nevada Gaming Control Board, betonade behovet av snabb kommunikation, även om alla detaljer inte är kända i ett så tidigt skede. Det handlar om att upprätta initial kontakt, en signal till tillsynsmyndigheten att något är fel.

"Det var viktigt för styrelsen att anmälan om cybersäkerhetsincidenten skedde inom 24 timmar. Sjuttioåtta timmar i praktiken var helt enkelt för lång tid. Vi ändrade därefter anmälningskraven för licenstagarna för att överensstämma med vad vi nu förstår är bästa praxis." - Mike Dreitzer, ordförande för Nevada Gaming Control Board

Utöver 24-timmarsanmälan måste operatörerna nu lämna in en detaljerad incidentrapport inom fem dagar. Alternativt kan de begära ett personligt möte med styrelsens ordförande. I detta fall förlängs tidsfristen för den skriftliga rapporten till 30 dagar. Under hela lösningsprocessen krävs skriftliga uppdateringar var 30:e dag. Målet är att säkerställa att tillsynsmyndigheten inte längre är det sista företaget tänker på under en kris, som Kristi Torgerson från tillsynsavdelningen träffande noterade.

Varför det är relevant för tyska spelare

För tyska spelare som är aktiva i GGL-licensierade onlinekasinon kan dessa nyheter från Las Vegas verka avlägsna, men IT-säkerhet och dataskydd regleras lika strikt här. Interstate Treaty on Gambling 2021 (GlüStV 2021) lägger enorm vikt vid systemintegritet. I Tyskland måste alla licensierade leverantörer vara anslutna till det centrala tillsynssystemet LUGAS. Detta system övervakar inte bara insättningsgränsen på 1 000 euro per månad och insatsgränsen på 1 euro per snurr för spelautomater, utan sätter också höga tekniska krav för dataskydd.

En hackerattack mot ett tyskt onlinekasino skulle få omedelbara konsekvenser för tillgänglighet och datasäkerhet. Eftersom tyska leverantörer är strikt reglerade måste de också omedelbart rapportera säkerhetsincidenter. Joint Gambling Authority of the States (GGL) upprätthåller en vitlista över företag som uppfyller dessa strikta krav. Spelare bör därför se till att de endast spelar med leverantörer som har en tysk licens. Till skillnad från oreglerade kasinon från Curacao eller andra offshore-jurisdiktioner, ger GGL-licensen juridiska möjligheter och statlig tillsyn för att skydda spelares intressen vid en dataläcka.

Vad det innebär för GGL-licensierade kasinon

Utvecklingen i Nevada skulle kunna tjäna som en modell för ytterligare skärpning av regleringar i Europa. GGL-licensierade kasinon investerar redan tungt i sin IT-infrastruktur för att uppfylla GlüStV 2021-kraven. Anslutning via LUGAS och OASIS-avstängningsdatabasen kräver ständig realtidskommunikation. Skulle säkerhetsluckor uppstå här, skulle integriteten i hela det tyska spelarskyddssystemet stå på spel. Tyska leverantörer måste därför ständigt uppdatera sina beredskapsplaner, precis som resorter i Las Vegas.

"Kasinon är opportunistiska mål eftersom de har ett omfattande antal cyberangreppspunkter, har mycket pengar, och den offentliga upprördheten är mindre märkbar när de attackeras." - Forskare vid UNLV (University of Nevada, Las Vegas)

För operatörer i Tyskland är teknisk tillförlitlighet inte ett tillval utan en förutsättning för existens. Att försumma systemsäkerhet riskerar inte bara böter utan även återkallande av den värdefulla GGL-licensen. De nya reglerna i Nevada visar att transparens med tillsynsmyndigheten är det enda sättet att behålla allmänhetens förtroende på lång sikt. Tyska spelare gynnas indirekt av denna globala trend mot ökad cybersäkerhet, eftersom internationella standarder ofta hittar sin väg in i lokala regleringar.