VGCCC Multa a Tabcorp con AU$350.000 por Fallas de Seguridad
Australia.- 25 de Septiembre de 2026 | www.zonadeazar.com La Victorian Gambling and Casino Control Commission, VGCCC, impuso una multa de AU$350.000 a Tabcorp VIC Pty Ltd por incumplimientos relacionados con la implementación obligatoria de autenticación multifactor, MFA, en las cuentas de apuestas de sus clientes.
El regulador concluyó que la compañía no aplicó completamente los controles exigidos entre enero y junio de 2025, dejando su sistema expuesto a riesgos de seguridad.
Multa de AU$350.000
La sanción alcanza los AU$350.000.
La VGCCC determinó que Tabcorp incumplió cuatro requisitos contenidos en los Wagering and Betting Technical Standards aplicables al titular de la licencia de apuestas de Victoria.
Período de Incumplimiento
Las infracciones se produjeron entre el 30 de enero y el 23 de junio de 2025.
Durante ese período, la autenticación multifactor todavía no había sido implementada completamente para todas las cuentas.
Qué Es la Autenticación Multifactor
La MFA exige más de un mecanismo de verificación antes de permitir que un cliente acceda a su cuenta.
Además de una contraseña, puede requerir elementos como:
- Código enviado al teléfono.
- Aplicación de autenticación.
- Confirmación adicional de identidad.
- Otros factores independientes.
El objetivo es reducir el riesgo de accesos no autorizados incluso cuando una contraseña haya sido comprometida.
Cuatro Estándares Incumplidos
La VGCCC concluyó que Tabcorp incumplió cuatro Wagering and Betting Technical Standards.
Estos requisitos forman parte de las obligaciones técnicas y de seguridad aplicables a la operación de wagering en Victoria.
Riesgo Para las Cuentas
Según el regulador, la implementación incompleta dejó el sistema de apuestas y las cuentas de clientes más vulnerables.
La preocupación no fue únicamente teórica.
Accesos No Autorizados
Durante el período de incumplimiento, algunas cuentas fueron objeto de accesos no autorizados.
En determinados casos, esto permitió que terceros retiraran dinero de las cuentas afectadas.
Clientes Fueron Reembolsados
La VGCCC informó que los clientes perjudicados fueron posteriormente compensados.
Los reembolsos fueron efectuados por sus bancos o directamente por Tabcorp.
Implementación Completa en Junio
Tabcorp comunicó al regulador que la implementación completa de MFA quedó finalizada en junio de 2025.
Esto incluyó exigir a los usuarios restantes actualizarse a una versión de la aplicación TAB que incorporara autenticación multifactor.
Dispensas Previas
La Comisión señaló además que la compañía había recibido múltiples períodos de dispensa antes de la implementación definitiva.
A pesar de esas extensiones, el sistema no quedó plenamente adaptado dentro de los plazos regulatorios aplicables.
Responsabilidad del Licenciatario
La VGCCC sostuvo que el titular de la licencia tiene la responsabilidad de mantener sistemas capaces de prevenir vulnerabilidades y proteger a los clientes.
La obligación incluye tanto implementar controles adecuados como responder rápidamente cuando se detectan fallas.
Chris O’Neill
Chris O’Neill APM, Chairperson de la VGCCC, destacó que el regulador espera que los operadores mantengan sistemas sólidos para prevenir incidentes y proteger a los usuarios.
También señaló que, cuando ocurre una falla, las empresas deben identificarla, resolverla rápidamente y abordar sus causas subyacentes.
Confianza en el Mercado Regulado
La autoridad destacó que los controles de protección son necesarios no sólo para evitar pérdidas individuales.
También cumplen una función en el mantenimiento de la confianza del público en los productos y servicios regulados.
Seguridad Como Obligación Regulatoria
La sanción demuestra que la ciberseguridad y la gestión de accesos forman parte directa de las obligaciones de compliance.
No se trata únicamente de una cuestión tecnológica interna.
Licencia de Victoria
Tabcorp opera bajo la licencia de wagering y betting de Victoria.
La actual licencia fue otorgada en diciembre de 2023 por un período de 20 años y comenzó a regir en agosto de 2024.
Alcance de la Licencia
La autorización permite a Tabcorp ofrecer apuestas relacionadas con:
- Carreras.
- Deportes.
- Otros eventos aprobados.
También cubre determinados productos de simulated racing conocidos como Trackside.
Mayor Exigencia Técnica
El marco regulatorio exige que los sistemas utilizados por el operador cumplan estándares específicos de seguridad, integridad y protección del consumidor.
Entre esos requisitos se encuentra la autenticación de clientes.
Riesgos del Account Takeover
La autenticación multifactor es particularmente relevante frente al denominado account takeover.
Este tipo de fraude ocurre cuando un tercero obtiene acceso a una cuenta legítima y puede:
- Consultar información.
- Modificar datos.
- Realizar operaciones.
- Solicitar retiros.
Protección Financiera
En una plataforma de wagering, una vulneración de cuenta puede tener consecuencias financieras inmediatas.
Por ese motivo, los controles de autenticación son considerados una barrera fundamental.
Enforcement de la VGCCC
La nueva sanción se suma a otras medidas adoptadas por la VGCCC contra Tabcorp durante los últimos años.
La autoridad ha exigido reformas en compliance, governance y harm minimisation.
Multa de AU$4,6 Millones en 2024
En agosto de 2024, la Comisión impuso a Tabcorp una multa de AU$4,6 millones por incumplimientos relacionados con su Responsible Gambling Code of Conduct y otras obligaciones regulatorias.
La sanción de 2026 corresponde a un caso diferente, centrado específicamente en controles técnicos de seguridad.
Historial de Supervisión
La VGCCC ha utilizado diferentes herramientas de enforcement contra operadores.
Entre ellas se encuentran:
- Multas.
- Cartas de censura.
- Variaciones de licencia.
- Suspensiones.
- Cancelaciones.
- Acciones judiciales.
Compliance Tecnológico
El caso pone de relieve la creciente importancia del compliance tecnológico dentro de la industria.
Los reguladores están prestando cada vez más atención a aspectos como:
- Autenticación.
- Ciberseguridad.
- Protección de datos.
- Monitoreo de transacciones.
- Gestión de accesos.
- Respuesta a incidentes.
Protección del Cliente
La VGCCC indicó que la sanción busca reforzar un mensaje para todo el mercado.
Los operadores deben implementar completamente las protecciones exigidas y mantenerlas de manera permanente.
No Basta con Implementación Parcial
El caso demuestra también que una adopción parcial de un control obligatorio puede ser insuficiente.
Si una parte de los clientes continúa operando sin la protección requerida, el sistema puede seguir expuesto a riesgos.
Contexto del Sector
La digitalización del wagering está aumentando la importancia de la seguridad de las cuentas.
A medida que una mayor proporción de depósitos, apuestas y retiros se realiza desde aplicaciones móviles, los reguladores están elevando las exigencias relacionadas con identidad y autenticación.
Próximos Pasos o Impacto
Tabcorp informó que la implementación completa de MFA ya quedó finalizada y que los clientes afectados fueron compensados.
La VGCCC continuará supervisando el cumplimiento de sus estándares técnicos y de protección.
La multa de AU$350.000 refuerza la señal de que los controles de seguridad digital forman parte central del marco regulatorio de Victoria y que su implementación incompleta puede derivar en sanciones incluso después de que la vulnerabilidad haya sido corregida.
Editó: @fonta
