Viranomainen sulkee verkkoportaalin lopullisesti tietomurron jälkeen

Curacaon pelivirasto ilmoitti viime viikolla, ettei sen verkkoportaalia oteta enää käyttöön. Kyse ei ole suinkaan mistään tilapäisestä katkoksesta, vaan myös palvelusopimukset, joiden varassa alusta on toiminut, tullaan päättämään.

Portaali ehti olla käytössä kolmen vuoden ajan ja sen kautta on sinä aikana hoidettu saaren lisenssiasioita. Nyt järjestelmä on ajettu alas tietoturvaloukkauksen jälkeen, kun siihen päästiin käsiksi luvatta ja viranomainen kertoo yhä selvittävänsä tapausta. Tilanne on poikkeuksellinen, sillä lisensoinnin työkalut joudutaan rakentamaan täysin tyhjästä samalla kun normaali valvontatyö jatkuu keskeytyksettä.

Lisenssinhaltijoille CGA:lla on silti rauhoittava viesti. Voimassa olevat lisenssit, operaattoreiden velvoitteet ja viranomaisen oma valvontavastuu pysyvät ennallaan. Lisensointi ja valvonta jatkuvat väliaikaisilla järjestelyillä sillä aikaa, kunnes korvaava ratkaisu on käytössä. Operaattoreilta CGA pyytää siirtymän ajaksi yhteistyötä ja kärsivällisyyttä.

Pelaajan kannalta uutinen ei ole pelkkää hallinnon sisäistä siivoamista. Curacaon lisenssillä toimii suuri joukko kansainvälisiä pelipaikkoja, joten muutos ulottuu laajalle. Moni pelaaja on tottunut tarkistamaan saitin taustat juuri lisenssin perusteella. Lisenssi ei tietenkään kerro koko totuutta laadusta, mutta se on yksi harvoista nopeasti tarkistettavista luotettavuuden mittareista.

Konkreettisin muutos koskee tässä kohtaa digitaalista sinettiä. Sen avulla operaattori on voinut osoittaa, että sen verkkotunnus on CGA:n lisensoima. Portaalin sulkeminen vaikuttaa myös sinettiin ja viranomainen lupaa ottaa pian käyttöön vaihtoehtoisen tavan todentaa lisenssi. Siirtymän aikana lisenssin tarkistaminen sinetin kautta voi siis olla tavallista hankalampaa.

Tarkempia tietoja ei ole vielä tuotu esiin siitä, miltä tuleva järjestely käytännössä näyttää. CGA lupasi jatkotiedotteen viimeistään 9. päivä kuluvaa kuuta, mutta sitä ei ollut julkaistu vielä tätä kirjoittaessa. Tilanteessa on sikis yhä monta avointa kysymystä ja niihin palataan tässä katsauksessa tarkemmin.

Viranomaisen tiedote luo kuvan tilanteesta

CGA:n julkaisema tiedote on lyhyt ja muotoiltu varovasti, mutta ydinviesti on silti selvä. Nykyistä portaalia ei palauteta käyttöön ja sen ympärille rakennetut palvelusopimukset päättyvät. Viranomainen siirtyy pois alustasta, mutta korostaa, ettei sen oma toiminta katkea siirtymän aikana. Viesti on suunnattu ensisijaisesti lisenssinhaltijoille, jotka ovat tähän asti hoitaneet asioinnin portaalin kautta.

Lisensointi ja valvonta hoidetaan toistaiseksi vaihtoehtoisilla järjestelyillä. Niiden on määrä toimia siihen asti, kunnes lisenssi- ja viranomaisasioiden käsittelyyn saadaan väliaikainen ratkaisu. Sanavalinta on kiinnostava, kun tiedotteessa ei puhuta pysyvästä korvaajasta vaan välivaiheesta, joten varsinainen tuleva järjestelmä näyttää olevan vielä kauempana.

Käytännössä operaattorit ovat nyt tilanteessa, jossa sääntely on täysin voimassa, mutta sen keskeinen työkalu puuttuu. Ulospäin tämä ei välttämättä näy heti, sillä lisensoidut sivustot voivat jatkaa toimintaansa normaalisti. Yhtä tärkeää on se, mitä tiedotteesta puuttuu. Siinä ei mainita aikataulua, tuelvan alustan toimittajaa eikä sitä, miten operaattorit käytännössä asioivat viranomaisen kanssa välivaiheen aikana. Juuri nämä yksityiskohdat ratkaisevat, miten sujuvasti arki jatkuu lisenssinhaltijoiden näkökulmasta.

Niitä ei alan uutissivusto NEXT.io:n mukaan ollut kerrottu vielä, vaikka jatkotiedotteen piti ilmestyä jo pari vuorokautta aiemmin. Viranomainen lupaa päivittää tilannetta sitä mukaa kuin tietoa on saatavilla. Tiedote ei myöskään kerro, kenen kanssa solmitut sopimukset nyt päättyvät. NEXT.io tulkitsee, että kyse on käytännössä Random Consultingista. Yhtiö on Mario Galean konsulttiyritys ja Galea tunnetaan Maltan peliviranomaisen MGA:n entisenä johtavana sääntelijänä. CGA ei kuitenkaan itse nimeä yhtiötä, joten yhteys on toistaiseksi alan median arvio eikä viranomaisen vahvistama tieto.

Tietomurto ja vuodetut asiakirjat taustalla

Portaalin kohtaloon johtanut tapahtumaketju alkoi kauan ennen nyt julkaistua tiedotetta. Hakkeri Lilith Wittmann julkaisi syyskuussa yli 40 000 asiakirjaa, jotka oli saanut käsiin päästyään aineistoon käsiksi luvatta jo edellisenä vuonna.

Tapahtumien aikajana on huomionarvoinen. Luvattoman pääsyn ja julkaisun välissä kului pitkä aika ja portaalin lopullinen sulkeminen tuli vasta muutamia viikkoja tietomurron julkaisun jälkeen. Lähteistä ei selviä, milloin viranomainen itse havaitsi murron, joten sen reagointinopeudesta ei voida tässä kohtaa vetää johtopäätöksiä.

CGA:n oman tiedotteen perusteella tapaus ei ole vielä ohi. Viranomainen kertoo selvittävänsä luvatonta pääsyä ja pyrkivänsä edelleen rajaamaan tietovuotoa. Lisätietoja tapauksesta luvataan myöhemmin, mutta toistaiseksi viranomainen ei ole kertonut, miten laajasta vuodosta on kyse.

Asiakirjojen sisällöstä lähteet eivät kerro tarkemmin, joten siitä ei kannata tehdä oletuksia. Varmaa on vain se, että aineistoa on paljon ja että se on päätynyt julkisuuteen ilman viranomaisen lupaa. Jos vuodolla osoittautuu olevan vaikutuksia operaattoreihin tai pelaajiin, se selviää todennäköisesti vasta CGA:n seuraavista tiedotteista.

Tilanteessa on myös oma, hieman kiusallinen ironiansa. Sääntelijän tehtävä on vaatia lisensoiduilta pelisivustoilta huolellista ja turvallista tietojen käsittelyä, ja nyt viranomainen joutuu selvittelemään omaan systeemiin kohdistuneen tietomurron jälkiä. Luottamuksen kannalta ratkaisevaa on, kuinka avoimesti CGA kertoo tapauksesta jatkossa.

Vaikutukset pelaajille ja operaattoreille

Curacaon lisenssillä toimiville sivustoille arki jatkuu toistaiseksi ennallaan. Toimiluvat ja niihin liittyvät velvoitteet ovat CGA:n mukaan voimassa, eikä portaalin sulkeminen siis itsessään vie keneltäkään sertifikaattia.

Pelaajan silmin näkyvin muutos koskee digitaalista sinettiä. Sinetin avulla operaattori on voinut osoittaa, että sen verkkotunnus kuuluu CGA:n lisensoimiin. Portaalin alasajo vaikuttaa myös siihen ja viranomainen kertoo ottavansa pian käyttöön toisen tavan todentaa toimilupa. Millainen ratkaisu on ja milloin se otetaan käyttöön, ei ole vielä julkisesti tiedossa.

Käytännössä tämä tarkoittaa toki pientä epävarmuutta koko siirtymän ajaksi. Jos sinetti ei toimi odotetusti, se ei välttämättä kerro lisenssin puuttumisesta, vaan kyse voi olla viranomaisen järjestelmän muutoksesta. Toisaalta sinetti ei ole koskaan ollut ainoa tapa arvioida pelikohteen taustoja.

Lisenssin lisäksi on hyvä tarkastaa, mikä yhtiö sivustoa ylläpitää ja mitä käyttöehdoissa sanotaan esimerkiksi kotiutuksista. Nämä tiedot eivät riipu viranomaisen portaalista ja ne kertovat usein enemmän kuin yksittäinen merkki sivun alalaidassa. Myös se, löytyykö sivustolta selkeät yhteystiedot ja toimiva asiakaspalvelu, on hyödyllinen tarkistus siirtymän aikana.

Seuraamme tarkalla silmällä tilanteen kehittymistä ja päivitämme tietoja, kun CGA julkaisee lisätietoja väliaikaisista järjestelyistä ja seuraavasta tavasta todentaa lisenssi. Jos muutokset vaikuttavat listaamiemme pelikeskittymien tietoihin, päivitämme totta kai myös ne vastaamaan totuutta.