Tabcorp multada em US$ 245 mil por falha de segurança na Austrália

A Tabcorp foi multada em AU$ 350 mil (US$ 245.413) pela Victorian Gambling and Casino Control Commission (VGCCC) por falhar na implementação da autenticação multifator obrigatória em seu sistema de apostas.

A decisão da VGCCC, divulgada na quinta-feira, segue uma falha de quase cinco meses em 2025 que deixou contas de clientes vulneráveis a acessos não autorizados.

A comissão considerou a Tabcorp em violação de múltiplas disposições da Lei de Padrões Técnicos de Apostas, incluindo as seções 8.3.1, 8.3.2, 10.3.2 e 10.4.3.

A autenticação multifator exige que os usuários apresentem duas formas de verificação, como uma senha e um código único.

A VGCCC concluiu que os controles alternativos sugeridos pela Tabcorp eram insuficientes para atender aos padrões regulatórios.

A Tabcorp notificou a comissão sobre uma violação de segurança significativa em 20 de janeiro de 2025, que envolveu acesso não autorizado a pelo menos 195 contas de clientes.

Houve também saques ilícitos totalizando aproximadamente $ 308.099.

Catorze das contas foram acessadas durante o período em que a autenticação multifator não estava implementada conforme exigido.

Além disso, em maio de 2025, a Tabcorp relatou um ataque de bot direcionado a contas inativas sem proteções de autenticação multifator.

Esse incidente resultou em cerca de $ 13.471 sendo retirados de contas de jogadores no estado, com perdas totais em todo o país chegando a quase $ 31.000.

Tanto a Tabcorp quanto os bancos dos clientes reembolsaram os indivíduos afetados.

A VGCCC rejeitou as alegações da Tabcorp de que a autenticação multifator não era obrigatória ou que controles alternativos eram suficientes.

A comissão destacou que o padrão 8.3.1 exige explicitamente o uso da autenticação multifator.

A multa de $ 350.000 refletiu várias considerações, incluindo a natureza e a gravidade das violações, bem como o dano real e potencial aos clientes.

Também considerou a duração do descumprimento (quase cinco meses) e a eventual cooperação da empresa.

Embora tenha considerado que as violações estavam "na extremidade inferior da gravidade objetiva", a comissão considerou o descumprimento prolongado e as perdas dos clientes como fatores agravantes.

A multa representou aproximadamente 3,5% da penalidade máxima disponível sob a Lei de Regulamentação de Jogos.

A defesa da Tabcorp foi de que a autenticação multifator foi disponibilizada aos clientes a partir de março de 2025, que sistemas de detecção existiam há mais tempo e que as contravenções foram breves e devidas a limitações técnicas.

A VGCCC reconheceu a cooperação e os reembolsos da Tabcorp, mas constatou que a empresa não aceitou totalmente a responsabilidade pelas violações.

A operadora também foi multada em mais de $ 2,7 milhões em julho, após a empresa ter violado regulamentos de telemarketing e spam por um período de 16 meses.

A operadora adquiriu a BetMakers por aproximadamente $ 267 milhões no mês passado.