Tabcorp bötfälls på 350 000 AUD för brister i multifaktorautentisering

Den australiska spelmarknaden har skakats av nya disciplinära åtgärder mot Tabcorp VIC Pty Ltd. Victorian Gambling and Casino Control Commission (VGCCC) ålade nyligen operatören en böter på 350 000 AUD. Beslutet kommer efter en grundlig utredning som avslöjade att Tabcorp misslyckats med att implementera obligatoriska säkerhetsåtgärder utformade för att skydda kundernas spelkonton. Specifikt lämnade bristen på multifaktorautentisering (MFA) tusentals användare sårbara för cyberattacker och ekonomiska stölder under första halvan av 2025.

Enligt fynden var perioden av bristande efterlevnad från 30 januari till 23 juni 2025. Under dessa månader uppfyllde spelsystemet inte fyra viktiga tekniska standarder som krävs av tillsynsmyndigheten. Frånvaron av MFA, som kräver mer än en form av identitetsverifiering, tillät illvilliga aktörer att infiltrera användarkonton. Dessa intrång resulterade i verkliga ekonomiska förluster för kunder då obehöriga uttag framgångsrikt genomfördes. Detta fall fungerar som en skarp varning till den globala iGaming-industrin om riskerna med teknisk försummelse.

Siffror och fakta

Böterna på 350 000 AUD är en del av en serie av tillsynsverkningar mot Tabcorp. I början av 2025 drabbades företaget av en svindlande böter på 4,6 miljoner AUD för breda brister i styrning och skadebegränsning. De nuvarande böterna förstärker budskapet att säkerhet är en icke-förhandlingsbar pelare för en spellicens. VGCCC betonade att upprätthållandet av allmänhetens förtroende för reglerade produkter är av yttersta vikt, särskilt när fler spelare flyttar till mobilapplikationer.

VGCCC:s ordförande Chris O’Neill APM uttryckte besvikelse över Tabcorps misslyckande att följa de fastställda standarderna. Han gjorde det tydligt att storskaliga operatörer inte har någon ursäkt för fördröjda säkerhetsimplementeringar.

"Vi förväntar oss starka system för att förhindra intrång och skydda kunder. Om intrång inträffar är vår förväntan att licenstagare identifierar och löser dem snabbt och åtgärdar deras grundorsak." - Chris O’Neill APM, ordförande för VGCCC

Tabcorp har informerat kommissionen om att de uppnådde full efterlevnad i slutet av juni 2025. Detta inkluderade att tvinga användare att uppdatera sin TAB-mobilapp till en version som stöder MFA. Företaget bekräftade också att alla drabbade kunder har fått ersättning, antingen genom sina respektive banker eller av Tabcorp själva.

Bakgrund

Multifaktorautentisering anses allmänt vara guldstandarden för säkerställning av onlinekonton. Genom att kräva ett andra lager av verifiering – som en kod som skickas till en mobil enhet eller en fingeravtrycksskanning – kan operatörer förhindra över 99 procent av automatiska kontokapningsförsök. Tabcorps misslyckande att rulla ut detta till hela sin användarbas skapade ett fönster för hackare. VGCCC:s beslut att straffa företaget återspeglar en växande trend bland tillsynsmyndigheter att behandla IT-säkerhet med samma nivå av granskning som protokoll för penningtvätt (AML).

För den viktorianska tillsynsmyndigheten handlar böterna inte bara om pengar utan om att sätta ett prejudikat. Den australiska spelmarknaden har sett ökat tryck för att förbättra konsumentskyddet. I takt med att digitalt spelande växer blir licensinnehavarens ansvar att skydda känsliga finansiella uppgifter ett centralt operativt krav. Underlåtenhet att göra det medför nu inte bara finansiella påföljder utan också betydande ryktesrisker.

Varför det är viktigt för tyska spelare

För spelare i Tyskland illustrerar detta fall vikten av de strikta regleringar som införts genom interstatefördraget om spel om pengar 2021 (GlüStV 2021). Medan Australien fortfarande finjusterar sina digitala säkerhetsmandat, har Tyskland infört några av världens mest rigorösa system för spelarskydd. Varje laglig operatör på GGL:s vitlista måste följa strikta regler för datasäkerhet och identitetsverifiering. Det centrala LUGAS-systemet och OASIS-spärrfilen ger skyddslager som gör den tyska marknaden betydligt säkrare än offshore-jurisdiktioner som Curacao eller Malta.

Tysk lag kräver en månadsinsättningsgräns på 1 000 euro och en maximal insats på 1 euro per snurr för virtuella slots. Dessa gränser, i kombination med obligatoriska kontoverifieringsprocesser, säkerställer att även vid en säkerhetsincident är den potentiella skadan för en spelare strikt begränsad. Tabcorp-incidenten förstärker varför tyska myndigheter är så fokuserade på ett "slutet system" för reglering där varje tekniskt aspekt av plattformen granskas av GGL.

Vad det innebär för GGL-licensierade kasinon

Tyska licensierade kasinon måste upprätthålla ett proaktivt förhållningssätt till cybersäkerhet. Varje fördröjning med att implementera säkerhetsuppdateringar eller obligatoriska funktioner som MFA kan leda till omedelbart indragande av licensen av GGL. Tabcorp-fallet visar att även etablerade branschjättar inte är immuna mot tillsynsmyndigheternas vrede när de misslyckas med sina kunder. För tyska operatörer är teknisk excellens lika viktig som variationen av spel som erbjuds. Att upprätthålla en säker miljö är det enda sättet att säkerställa långsiktig hållbarhet på en högt reglerad marknad som Tyskland.