Valtava tietomurto paljasti satojen pelisivustojen salatut omistajat
Curacaon peliviranomainen on joutunut mittavan ja poikkeuksellisen pitkäkestoisen tietomurron kohteeksi. Viranomainen vahvisti viime perjantaina julkaistussa virallisessa tiedotteessa, että sen portaaliin on kohdistunut hyökkäys. Murto ehti jatkua järjestelmissä taustalla täysin huomaamatta peräti yhdeksän kuukauden ajan ennen kuin viranomaiset äkkäsivät tilanteen. Laitoksen hallinnoimasta sääntelyjärjestelmästä on paljastunut valtava määrä erittäin arkaluontoisia ja salassa pidettäviä asiakirjoja.
Luvattomasti ladattu aineisto pitää sisällään kymmeniä tuhansia luottamuksellisia dokumentteja, jotka koskevat satoja Karibian saarelle rekisteröityjä rahapeliyhtiöitä ja niitä pyörittäviä taustahenkilöitä. Hakkeroidun materiaalin joukosta löytyy muun muassa yksityiskohtaisia omistajuusselvityksiä, virallisia lisenssihakemuksia, viranomaisen tekemiä sääntelyarviointeja, passeja, verotustietoja sekä yritysten sisäisiä taloudellisia raportteja ja niihin ilmoitettuja varallisuuksia.
Tietomurron seurauksia ja vuodetun aineiston sisältöä on perannut laajassa kansainvälisessä tutkinnassaan hollantilainen tutkivan journalismin julkaisu Follow the Money yhdessä saksalaisen NDR:n sekä pohjoismaisten NRK:n ja SVT:n kanssa. Työn tulokset julkaistiin yhteisessä Casino Secrets -nimellä kulkevassa raportoinnissa. Toimittajat tunnistivat vuodetusta materiaalista yhteensä noin 800 omistajataustaa, jotka kytkeytyvät suoraan lähes 650 toimilupaa hallinnoimaan peliyhtiöön.
Asiakirjoista paljastui yhteensä 897 merkintää yhtiöiden todellisista edunsaajista ja nämä luottamukselliset tiedot koskevat 767 eri henkilöä 646 eri organisaatiossa. Tähän asti piilossa pysytelleiden taustahenkilöiden asema on muuttunut kertaheitolla tukalaksi, sillä iskun tehnyt hakkeri on ilmoittanut julkaisevansa piakkoin kattavan listan näistä alan todellisista edunsaajista.
Lisensoitujen pelipaikkojen todellisten omistusrakenteiden ja taustavoimien selvittäminen julkisista rekistereistä on ollut tähän saakka verkkopelaamisen alalla äärimmäisen vaikeaa tai suorastaan mahdotonta. Tämä ennennäkemättömän laaja tietovuoto repii verhon auki alan monimutkaisten taustayhtiöiden edestä ja pakottaa pitkään salassa toimineet taustahenkilöt kerralla julkisuuden valokeilaan.
Sama berliiniläistutkija jälleen pelialan jättivuodon taustalla
Poikkeuksellisen tietomurron takana on berliiniläinen kyberturvallisuustutkija ja aktivisti Lilith Wittmann, joka on aiemminkin kunnostautunut vastaavissa tempauksissa. Wittmann kertoo omilla verkkosivuillaan kirjautuneensa Curacaon peliviranomaisen verkkoportaaliin alun perin jo viime vuoden joulukuussa. Kirjautumisessa hän käytti keksittyä identiteettiä ja nimimerkkiä esiintyen säätiön edustajana, vaikkakin hakemukseen liitetty sähköpostiosoite oli mahdollista jäljittää suoraan häneen itseensä.
Peliviranomaisen järjestelmien tietoturva osoittautui käytännössä hämmentävän hauraaksi ja puutteelliseksi. Wittmannin mukaan häneltä kului alle kahdeksan tuntia järjestelmässä olleen helposti tunnistettavan haavoittuvuuden hyödyntämiseen. Tämän kriittisen tietoturva-aukon ansiosta hän sai täyden pääsyn sääntelyelimen palvelimille ja portaaliin, mikä mahdollisti asiakirjojen, lisenssihakemusten sekä luottamuksellisten taustaselvitysten lukemisen täysin ilman minkäänlaisia esteitä.
Sosiaalisessa mediassa julkaisemassaan päivityksessä tutkija paljasti seuranneensa sääntelyviranomaisen työskentelyä reaaliajassa peräti yhdeksän kuukauden ajan viraston siitä lainkaan tietämättä. Tämän pitkän seurantajakson aikana hän näki suoraan, ketkä todellisuudessa omistavat ja rahoittavat alalla toimivia pelisaitteja sekä mitä tietoja viranomaisilla oli hallussaan näiden yhtiöiden toiminnasta. Tietojen julkaisussa hän teki koordinoitua yhteistyötä viidessä eri maassa toimivien tutkivien medioiden kanssa jättimäisessä kampanjassa.
Nyt nähty tapaus ei ole suinkaan ensimmäinen kerta, kun kyseinen aktivisti ravistelee kansainvälistä rahapelialaa omilla paljastuksillaan. Wittmann ilmoitti nimittäin jo aiemmin maaliskuussa olevansa vastuussa vastaavanlaisesta tietomurrosta, joka kohdistui Maltan peliviranomaiseen. MGA reagoi iskuun kansainvälisen lakitoimiston välityksellä toimittamalla tutkijalle massiivisen, peräti 1 300-sivuisen alustavan kieltopäätöksen, jolla pyrittiin estämään tiettyjen kriittisten lausuntojen antaminen sääntelyelimen toiminnasta.
Suurten operaattoreiden omistajakuviot suurennuslasin alla
Vuodetut asiakirjat tuovat esiin mielenkiintoisia ja yllättäviä yksityiskohtia alan suurimpien toimijoiden taustoista. Esimerkiksi jättimäisen Staken taustalla operoivan yhtiön Medium Rare NV:n ainoaksi omistajaksi on rekisteripapereissa merkitty serbialainen Mladen Vuckovic yli miljardin dollarin ilmoitetulla varallisuudella. Viranomaisen omat auditoinnit olivat kuitenkin herättäneet vahvoja epäilyksiä kyseisestä yksinomistajuudesta, sillä yhtiön rahaliikenteestä paljastui huomattavan suuria lainoja ja rahasuorituksia Staken julkisuudessa tunnetuille perustajille Ed Cravenille ja Bijan Tehranille, joita ei ollut ilmoitettu virallisiksi omistajiksi lisenssihakemuksessa.
Samanlaisia epäselvyyksiä nousi esiin myös kansainvälisesti tunnetun 1xBet-brändin kohdalla, jonka viralliseksi omistajaksi ja toimitusjohtajaksi on papereissa merkitty Ihor Hniedash. Viranomaiset epäilivät yhtiöllä olevan todellisuudessa useampia faktisia omistajia ja vaativat lisätietoja Hniedashin suhteista kolmeen muuhun julkisuudessa brändiin vahvasti yhdistettyyn henkilöön. Epäilyksistä ja lisäselvityspyynnöistä huolimatta yhtiölle myönnettiin silti toimilupa pari vuotta sitten.
Aineisto toi julki tarkkoja omistajuustietoja myös muista alalla toimivista tunnetuista brändeistä. Suositun Blaze.com:n taustalla vaikuttavan Prolific Trade NV:n omistajiksi paljastuivat asiakirjojen myötä hollantilainen Nick van Gorsel sekä yhdysvaltalainen Nicholas Beugg. Kybertutkija Wittmannin mukaan julkisuuteen vuodetut luottamukselliset tiedot ja tulevat lisäpaljastukset koskevat lisäksi Platin Casinoa sekä merkittävää ohjelmistotoimittajaa Softswissiä.
Toimielin lupaa läpinäkyvyyttä selvityksen edetessä
Curacaon peliviranomainen on ilmoittanut saaneensa verkkoportaaliin kohdistuneen luvattoman pääsyn hallintaan sekä tunnistaneensa iskun lähteen. Viranomainen käynnisti välittömästi ulkopuolisen rikosteknisen tutkinnan selvittääkseen tapahtuneen todellisen laajuuden ja sen, mihin tietoihin järjestelmissä on ehditty koskea. Vaikka CGA täsmentää, ettei sen teknistä ydininfrastruktuuria ole vaarannettu, suhtautuu se asiaan äärimmäisellä vakavuudella hallussaan pitämiensä arkaluontoisten tietojen vuoksi ja on asettanut palvelimille tiukennettua lisäseurantaa.
Viranomainen vakuuttaa tiedottavansa suoraan niitä hakijoita, lisenssinhaltijoita ja muita sidosryhmiä, joiden luottamuksellisiin tietoihin tietomurto on mahdollisesti vaikuttanut. CGA korostaa olevansa täysin sitoutunut läpinäkyvyyteen ja lupaa jakaa tilannepäivityksiä heti faktojen täsmentyessä. Tällä hetkellä yksityiskohtien julkistaminen on kuitenkin rajallista, sillä asia on edelleen virallisen tutkinnan ja viranomaiskäsittelyn alaisena.
Vuoto osuu sääntelyelimen kannalta erittäin kriittiseen saumaan, sillä Curacao siirtyi äskettäin päivitettyyn lainsäädäntöön korvatakseen vuosikymmeniä vallinneen master-lisensseihin pohjautuneen mallin. Peliviranomainen on aiemmin joutunut myöntämään, että siirtymäaikana toimilupia on mennyt läpi, vaikka hakijoiden todelliset omistusrakenteet ovat olleet vielä auki. Tämä ennennäkemättömän laaja tietovuoto asettaakin koko saaren nykyisen järjestelmän uskottavuuden todelliseen tulikokeeseen rahapelialan silmissä.
