Zona de Azar Canadá – Soluciones de Alta Tecnología Ayudan a las Casas de Apuestas Deportivas

Canadá.- 23 de Enero de 2023 www.zonadeazar.com Semanas después de que miles de clientes de DraftKings fueran víctimas de una amplia filtración de datos el fin de semana anterior al Día de Acción de Gracias, la compañía proporcionó detalles adicionales sobre un ciberataque masivo que ha sacudido la industria de las apuestas deportivas.

En muchos aspectos, DraftKings identificó un método de intrusión que los expertos cibernéticos sospechaban desde el principio. Según una notificación de violación de datos presentada ante la Oficina del Fiscal General de Maine, DraftKings detectó una serie de inicios de sesión sospechosos en determinadas cuentas, indicativos de una técnica conocida como “relleno de credenciales”.

Una brecha llevada a cabo mediante el “credential stuffing” suele producirse cuando un pirata informático utiliza credenciales de inicio de sesión de sitios de terceros para acceder a la cuenta de un usuario. La técnica podría ser tan sencilla como obtener la contraseña de un usuario en línea de un gimnasio local antes de utilizar la misma contraseña para entrar en la cuenta de apuestas deportivas en línea de un apostante.

Como ocurre con muchas intrusiones cibernéticas a gran escala, cuando un sector se convierte en objetivo de los ciberdelincuentes, suele responder reforzando su ecosistema de defensa para evitar futuros ataques. La brecha afectó al menos a 67.995 clientes, según DraftKings, y suscitó un intenso debate sobre ciberseguridad en una reciente conferencia del Consejo Nacional de Legisladores de los Estados del Juego. Al acto asistieron numerosas empresas que ofrecen soluciones antifraude de alta tecnología, en particular GeoComply Solutions Inc. con sede en Vancouver.

Aunque GeoComply es conocida en el mundo de las apuestas deportivas sobre todo por proporcionar datos precisos de geolocalización en nuevos estados con apuestas deportivas móviles, la empresa también ha recibido elogios por ayudar a las casas de apuestas deportivas en línea a combatir el fraude. GeoComply se presenta en su sitio web como una “ventanilla única” para soluciones de cumplimiento de la geolocalización, lucha contra el fraude y conocimiento del cliente (KYC). En el ámbito de las apuestas deportivas, GeoComply cuenta entre sus socios con nombres tan conocidos como BetMGM, DraftKings, FanDuel, Caesars y Rush Street Interactive.

Desde que DraftKings confirmó la intrusión de noviembre, hay indicios de que otros operadores importantes también fueron objeto de ataques. La propia FanDuel, archirrival de DraftKings, informó de un aumento de las violaciones de ciberseguridad en torno al Día de Acción de Gracias. Días antes de Navidad, el consejero delegado de BetMGM, Adam Greenblatt, reveló que algunos registros de clientes se habían obtenido sin autorización. La filtración afectó a direcciones postales, direcciones de correo electrónico y números de teléfono, así como a números de la Seguridad Social, números de identificación de jugadores y nombres de pantalla, según confirmó BetMGM.

“Probablemente desaparezca durante un tiempo, ya que todo el mundo mejorará sus normas”, declaró Simon Marchand, vicepresidente de GeoComply. “Con el tiempo, podría volver cuando se trate de adquisiciones de cuentas: las adquisiciones de cuentas son cíclicas”.

Datos de geolocalización de precisión

GeoComply utiliza una combinación de datos de dispositivos, información de localización e indicadores de comportamiento para ayudar a los operadores a luchar contra el fraude. Aunque los defraudadores pueden cambiar de dispositivo con frecuencia, ya que asegurarse un teléfono desechable es relativamente fácil, Marchand afirma que acceder a una nueva dirección resulta más difícil. GeoComply examina las salidas para determinar si una transacción es demasiado arriesgada para un operador. Las capacidades de seguimiento de geolocalización de la empresa son muy precisas, subrayó Marchand, y proporcionan datos con una exactitud de “uno a dos metros”.

A partir de ahí, GeoComply puede adoptar dos enfoques distintos para los siguientes pasos del proceso de investigación. Por un lado, los datos de geolocalización indicarán si un apostante suele realizar apuestas desde el mismo lugar. Por lo general, se considera que una transacción es segura si un apostante realizó una serie de apuestas en el partido de comodines Minnesota Vikings-New York Giants desde el sofá de su salón y utilizó el mismo lugar para apostar en la NFL durante toda la temporada.

Por el contrario, existen indicios de un mayor riesgo de fraude. Un cliente de apuestas deportivas recibió una solicitud de retirada de 437 dólares con instrucciones de enviar el cheque a un apartamento de un suburbio de Houston. Según el cliente, esta solicitud es un claro ejemplo de apropiación de cuenta, ya que no vive cerca de la ciudad. En otros casos, una empresa como GeoComply puede detectar una bandera roja al identificar una ubicación que ha estado implicada en docenas de otros casos de fraude.

“Si vemos 400 transacciones en 20 dispositivos en una hora en un garaje, es obvio que algo raro está pasando”, afirma Marchand.

Intercambio de información de alto nivel

En el transcurso de la intrusión, numerosos usuarios informaron de una rareza que les impedía acceder a sus cuentas. Tras entrar subrepticiamente en las cuentas, los ciberdelincuentes pueden cambiar la contraseña obtenida en la violación de datos. La usurpación de cuentas es una forma habitual de ciberdelincuencia, según GeoComply. El método de intrusión es similar a lo que puede ocurrir con las cuentas de clientes en el sector bancario.

Danny DiRienzo se incorporó a GeoComply en 2021 tras pasar 14 meses como investigador de juegos deportivos en la Tennessee Education Lottery Corporation (TELC). Antes de eso, DiRienzo pasó más de 20 años como agente especial del Servicio Secreto de Estados Unidos, donde coordinó investigaciones de blanqueo de dinero, fraude bancario, fraude postal, fraude electrónico e intrusiones en la red, entre otros delitos. DiRienzo es ahora director senior de servicios de riesgo en GeoComply, donde es considerado uno de los mayores expertos en prácticas policiales del sector de las apuestas deportivas.

Tomando ejemplo de sus días como agente del Servicio Secreto, DiRienzo celebra una reunión mensual con funcionarios encargados de hacer cumplir la ley. Las reuniones brindan a los funcionarios la oportunidad de intercambiar información sobre diversas investigaciones. Periódicamente, DiRienzo también reúne a operadores de juego y equipos de investigación privados para compartir información y aprender unos de otros.

GeoComply mantiene un contacto regular con los equipos de fraude de sus clientes de apuestas deportivas y les proporciona herramientas para aprovechar sus datos en la lucha contra el fraude.

Introducción a la 2FA

Sólo dos estados han adoptado normativas que obligan a las casas de apuestas deportivas en línea a establecer autenticaciones multifactor (2FA) para las cuentas de los clientes. En esencia, la 2FA es un método de autenticación que proporciona una capa adicional de seguridad a un usuario al requerir al menos dos formas de verificación para acceder a una cuenta. Un apostante que intenta iniciar sesión en una cuenta de apuestas deportivas móvil en un estado 2FA puede recibir un aviso en su teléfono con un código adicional que se requiere para entrar en la aplicación de apuestas deportivas.

Las cuentas de apuestas deportivas de un estado que exige 2FA se encontraban entre las vulneradas durante la intrusión, según informó un regulador estatal a Sports Handle. Los clientes de DraftKings perdieron al menos 300.000 dólares en fondos robados en la brecha, todos los cuales aparentemente han sido restaurados, según la compañía. No obstante, una normativa estricta sobre 2FA puede restaurar la confianza del público en que existen las salvaguardas adecuadas para proteger razonablemente las cuentas de los clientes, indicó el regulador.

Aunque DraftKings ha emitido declaraciones públicas sobre la brecha, la empresa no respondió a las preguntas de Sports Handle sobre si tiene una póliza de seguro de ciberseguridad para proteger a la empresa en caso de una intrusión cibernética importante. Es probable que esas primas sean mucho más elevadas para las empresas que no exigen 2FA, señaló un experto del sector en la reciente conferencia legislativa para los estados del juego.

El día de Año Nuevo, Ohio se convirtió en el estado más poblado en poner en marcha las apuestas deportivas en línea desde que Nueva York empezara a ofrecerlas por móvil un año antes. Los reguladores de la Comisión de Control de Casinos de Ohio aprobaron una norma exclusiva del Estado del Buckeye. Según esta norma, los operadores de apuestas deportivas en línea pueden almacenar los datos de los clientes en entornos basados en la nube, como las plataformas diseñadas por Amazon Web Services.

La normativa de Ohio difiere de la de otros estados que exigen que los servidores para procesar las apuestas deportivas online estén ubicados físicamente dentro de la misma jurisdicción, según explicó a Sports Handle el ex senador estatal de Ohio Bill Coley.

“Tiene que ser seguro”, dijo Coley, cuando se le preguntó por la importancia de promulgar normas que protejan razonablemente los datos de los consumidores. “Han investigado mucho esa cuestión. Estoy seguro de que tomaron la decisión correcta y saben lo que hacen”.

Cuando se utiliza correctamente, la nube es una “tecnología fantástica” para mitigar el riesgo de una brecha, dijo Josh Chin, socio gerente de Net Force, miembro de la Cyber Security Task Force nacional. Aun así, hay varios casos en los que los datos almacenados en un cubo S3 se han visto comprometidos, señala Chin. Amazon S3 es un apelativo de “servicio de almacenamiento simple”, una solución a medida para la protección de la ciberseguridad. Aunque una empresa como Amazon tiene cierta responsabilidad a la hora de instruir a los usuarios para que entiendan correctamente sus configuraciones, los operadores de apuestas deportivas deben actuar con la diligencia debida para proteger los datos de los clientes, señala.

En una reciente audiencia de la Comisión de Juego de Massachusetts sobre su aplicación de apuestas deportivas sin ataduras de Categoría 3, DraftKings abordó cuestiones relacionadas con la brecha cibernética. Aunque los comisionados presionaron a DraftKings sobre la respuesta de la compañía a la brecha, se conocen pocos detalles sobre la investigación, ya que el asunto se discutió en una sesión ejecutiva que no estaba abierta al público.

Editó: @MaiaDigital www.zonadeazar.com