Rivers Casino Philadelphia fait face à un recours collectif pour violation de données

La cybersécurité dans l'industrie du jeu est une fois de plus devenue un point central pour le pouvoir judiciaire. Suite à un incident grave en janvier de cette année, le Rivers Casino Philadelphia doit maintenant faire face à un recours collectif. Le juge fédéral américain Joshua D. Wolson, du tribunal de district américain pour le district Est de Pennsylvanie, a statué que les plaintes pour négligence contre l'opérateur du casino sont suffisamment fondées pour justifier un procès. Des clients de l'établissement ont poursuivi après que des parties non autorisées ont accédé aux serveurs et potentiellement copié des fichiers très sensibles.

La portée de la fuite de données est importante, car les fichiers concernés contenaient des noms, des détails bancaires et même des numéros de sécurité sociale. Ces enregistrements sont très recherchés sur le marché noir car ils constituent la base de la fraude à l'identité. Bien que le casino ait informé les personnes concernées après l'incident, les plaignants accusent la société de dissimuler l'étendue réelle de l'attaque. Le juge Wolson a souligné dans sa décision que les opérateurs ont un devoir de diligence clair dans la protection des données des clients et que les plaignants ont allégué de manière plausible que ce devoir a été violé.

Chiffres et faits

L'affaire actuelle s'inscrit dans une série de cyberattaques contre l'industrie américaine du jeu. Alors que le nombre exact de clients concernés dans le cas du Rivers Casino Philadelphia n'a pas été finalisé dans la décision de justice actuelle, un regard sur des incidents similaires montre les dimensions. Le cabinet d'avocats Levi & Korsinsky LLP, qui traite le recours collectif, a appelé les parties concernées à se joindre à la poursuite. Une comparaison avec le cas de Wynn Resorts illustre le danger : là-bas, le groupe ShinyHunters a accédé à environ 800 000 enregistrements et exigé une rançon de 1,5 million de dollars US avant une date limite en février. Dans le cas du Rivers Casino, le juge a rejeté les réclamations pour enrichissement sans cause ou violation de la vie privée, mais a maintenu l'accusation de négligence, car les plaignants ont déjà signalé une augmentation des tentatives de fraude suite à la fuite.

"Les plaignants ont allégué de manière plausible qu'il n'a pas rempli cette obligation de faire preuve de diligence raisonnable lors de la protection des informations personnelles des clients." - Joshua D. Wolson, juge fédéral américain

Contexte

Les casinos sont des cibles extrêmement attrayantes pour les cybercriminels. Une étude de l'UNLV (University of Nevada, Las Vegas) prouve qu'il y a eu plus de 50 incidents cybernétiques confirmés impliquant des sociétés de jeu au Nevada entre 2007 et 2023. La plupart d'entre eux se sont produits au cours de la dernière décennie. Souvent, l'infrastructure informatique repose sur une technologie obsolète, ce qui facilite l'accès pour les attaquants. Le cœur des procédures actuelles contre Rivers Philadelphia est de savoir si l'entreprise avait mis en place des mesures de protection de pointe. Le juge Wolson a considéré les rapports d'activités frauduleuses tentées suite à l'incident comme une preuve suffisante pour poursuivre le procès. D'autres réclamations légales, telles que la violation de la confidentialité, ont été rejetées pour manque de fondement.

Pour les joueurs allemands actifs dans les casinos en ligne agréés par la Gemeinsame Glücksspielbehörde der Länder (GGL), la sécurité des données est une priorité encore plus élevée. Le Traité d'État sur les jeux de hasard 2021 (GlüStV 2021) prescrit des exigences techniques extrêmement strictes. Chaque joueur doit être enregistré via le système central LUGAS pour surveiller les limites de dépôt d'un maximum de 1 000 euros par mois et la limite de mise de 1 euro par tour sur les machines à sous virtuelles. Ce lien entre les données personnelles et les systèmes de surveillance de l'État signifie que les licenciés allemands portent une responsabilité immense. Une fuite de données comme celle de Philadelphie serait un cauchemar réglementaire dans ce pays, pouvant potentiellement entraîner le retrait immédiat de la licence GGL. Les joueurs en Allemagne bénéficient de l'un des normes de protection les plus élevées au monde grâce au RGPD et à la supervision de la GGL, ce qui marque la différence avec les fournisseurs moins réglementés de MGA ou de Curaçao.

Ce que cela signifie pour les casinos agréés par la GGL

Les fournisseurs allemands sur la liste blanche officielle doivent s'assurer que leurs interfaces avec LUGAS et le fichier de blocage OASIS sont non seulement fonctionnelles, mais aussi cryptées selon les normes les plus récentes. L'incident chez Rivers Casino montre que les tribunaux sont de plus en plus disposés à tenir les opérateurs directement responsables des défaillances informatiques. Pour les casinos GGL, cela signifie une obligation constante d'investir dans la cybersécurité afin d'éviter des demandes de dommages et intérêts inspirées des actions collectives américaines. Les systèmes informatiques doivent être régulièrement audités, car la GGL peut imposer des amendes sensibles pour les défauts de sécurité. En Allemagne, la transparence envers les autorités en cas d'attaque est également strictement réglementée par des exigences légales de déclaration par rapport à de nombreux États américains.