Rivers Casino Philadelphia ställs inför grupptalan på grund av dataintrång

Cybersäkerheten i spelbranschen har återigen hamnat i fokus för rättsväsendet. Efter en allvarlig incident i januari i år måste Rivers Casino Philadelphia nu möta en grupptalan. USA:s distriktsdomare Joshua D. Wolson vid USA:s distriktsdomstol för östra Pennsylvania har beslutat att vårdslöshetanspråken mot kasinooperatören är tillräckligt välgrundade för att motivera en rättegång. Kunder till etablissemanget stämde efter att obehöriga parter hade fått tillgång till servrar och potentiellt kopierat mycket känsliga filer.

Omfattningen av dataläcka är betydande, eftersom de drabbade filerna innehöll namn, bankuppgifter och till och med personnummer. Sådana register är mycket eftertraktade på svarta marknaden eftersom de utgör grunden för identitetsbedrägerier. Även om kasinot underrättade de drabbade individerna efter incidenten, anklagar käranden företaget för att ha dolt attackens sanna omfattning. Domare Wolson betonade i sitt beslut att operatörer har en tydlig omsorgsplikt i att skydda kunddata och att käranden på ett trovärdigt sätt hävdat att denna plikt har åsidosatts.

Siffror och fakta

Det nuvarande fallet ansluter sig till en serie cyberattacker mot den amerikanska spelbranschen. Även om det exakta antalet drabbade kunder i Rivers Casino Philadelphia-fallet inte fastställdes i det nuvarande domstolsbeslutet, visar en titt på liknande incidenter dimensionerna. Advokatbyrån Levi & Korsinsky LLP, som hanterar grupptalan, uppmanade drabbade parter att ansluta sig till stämningen. En jämförelse med Wynn Resorts-fallet illustrerar faran: där fick gruppen ShinyHunters tillgång till cirka 800 000 register och krävde en lösesumma på 1,5 miljoner US-dollar senast i februari. I Rivers Casino-fallet avslog domaren anspråk på obefogad förmögenhetsökning eller intrång i privatlivet, men upprätthöll anklagelsen om vårdslöshet, eftersom käranden redan rapporterade ökade bedrägeriförsök efter läckan.

"Käranden hade på ett trovärdigt sätt hävdat att de misslyckats med att uppfylla skyldigheten att utöva rimlig omsorg vid skyddet av kundernas personliga information." - Joshua D. Wolson, USA:s distriktsdomare

Bakgrund

Kasinon är extremt attraktiva mål för cyberbrottslingar. En studie från UNLV (University of Nevada, Las Vegas) visar att det förekommit över 50 bekräftade cyberincidenter som involverade spelföretag i Nevada mellan 2007 och 2023. De flesta av dessa inträffade under det senaste decenniet. Ofta baseras IT-infrastrukturen på ålderdomlig teknik, vilket gör det lättare för angripare att få tillgång. Kärnan i det nuvarande förfarandet mot Rivers Philadelphia är huruvida företaget hade implementerat toppmoderna skyddsåtgärder. Domare Wolson ansåg att rapporterna om försökte bedrägeriförsök efter incidenten var tillräcklig bevisning för att fortsätta rättegången. Andra juridiska anspråk, såsom brott mot konfidentialitet, avvisades på grund av otillräckliga grunder.

Varför det är viktigt för tyska spelare

För tyska spelare som är aktiva i onlinekasinon med licens från Gemeinsame Glücksspielbehörde der Länder (GGL), är datasäkerhet en ännu högre prioritet. State Treaty on Gambling 2021 (GlüStV 2021) föreskriver extremt strikta tekniska krav. Varje spelare måste registreras via det centrala LUGAS-systemet för att övervaka insättningsgränser på högst 1 000 euro per månad och insatsgränsen på 1 euro per spinn på virtuella slots. Denna koppling av personuppgifter med statliga övervakningssystem innebär att tyska licenstagare bär ett enormt ansvar. Ett dataläck som det i Philadelphia skulle vara en regulatorisk mardröm i detta land och potentiellt leda till ett omedelbart tillbakadragande av GGL-licensen. Spelare i Tyskland åtnjuter en av de högsta skyddsnivåerna globalt tack vare GDPR och GGL-övervakning, vilket markerar skillnaden från mindre reglerade MGA- eller Curacao-leverantörer.

Vad det innebär för GGL-licensierade kasinon

Tyska leverantörer på den officiella vitlistan måste säkerställa att deras gränssnitt till LUGAS och OASIS-blockeringsfilen inte bara är funktionella utan också krypterade enligt de senaste standarderna. Incidenten på Rivers Casino visar att domstolar är alltmer villiga att hålla operatörer direkt ansvariga för IT-brister. För GGL-kasinon innebär detta en ständig skyldighet att investera i cybersäkerhet för att undvika skadeståndskrav modellerade efter amerikanska grupptalan. IT-system måste regelbundet granskas, eftersom GGL kan införa kännbara böter för säkerhetsbrister. I Tyskland är transparens gentemot myndigheter vid en attack också strikt reglerad av lagstadgade rapporteringskrav jämfört med många amerikanska stater.