Varför vi sänker betyget för onlinecasinon som saknar tvåfaktorsautentisering

GamblScouts poängalgoritm tillämpar ett mätbart avdrag på varje operatör som inte erbjuder tvåfaktorsautentisering (2FA), eller som enbart erbjuder en svag form av det, till exempel engångskoder via e-post. Beslutet är inte estetiskt. Oberoende forskning om kontoövertagande (ATO) visar att det nu är den dyraste kategorin av konsumentbedrägeri som spåras i USA, och flera kontrollerade studier placerar den skyddande effekten av att aktivera en andra autentiseringsfaktor på över 99 % mot automatiserade lösenordsattacker. En operatör som hoppar över den här kontrollen ber spelarna att bära en risk som data visar är möjlig att undvika.

Innehållsförteckning

Varför kontoövertagande är det största hotet mot spelarnas pengar

Kontoövertagande skiljer sig från ett dataintrång: angriparen stjäl inte information från operatören, utan loggar in som spelaren med hjälp av inloggningsuppgifter som erhållits på annat håll.
Sex miljoner amerikanska konsumenter fick ett befintligt konto kapat av kriminella under 2025, och ATO-förlusterna minskade med 4 % förra året men översteg ändå 15 miljarder dollar, vilket gör det till den dyraste bedrägeritypen som Javelin spårar.

Offer ägnade i genomsnitt 17 timmar åt att lösa bedrägerier med kontoövertagande under 2025.

Spelkonton är ett särskilt attraktivt mål eftersom de kombinerar ett finansierat saldo med lagrade betalningsuppgifter.
Bland de branscher som drabbas av kontoövertaganden svarar onlinespelssajter för ungefär 11 % av incidenterna, jämfört med 15 % för onlinespelplattformar och 9 % för kryptovalutaplattformar eller börser.
Branschspecifik telemetri bekräftar detta:
LexisNexis Risk Solutions rapporterade attackaktivitet vid kontoskapande, inloggning och betalningar inom gaming och spel under 2025, med en attackfrekvens på 14,2 % vid kontoskapande, en attackfrekvens för kontoövertagande på 0,4 % vid inloggning och en betalningsattackfrekvens på 2,1 %.
Inloggningssiffran ser liten ut isolerat sett, men med den volym inloggningar en medelstora operatör hanterar dagligen innebär en attackfrekvens på 0,4 % mot oskyddade konton ett konstant flöde av lyckade övertaganden.

Mekanismen bakom de flesta av dessa attacker är vardaglig snarare än sofistikerad.
Stora databaser med stulna användarnamn och lösenord – ofta innehållande miljontals poster – gör det enklare än någonsin för angripare att rikta in sig på iGaming-plattformar, och återanvändning av lösenord på olika sajter innebär att även relativt osofistikerade angripare kan ta sig in på casino- och sportbettingkonton.
Ett enda lösenord, hur starkt det än är, är en enda felkälla när det väl dyker upp i en läckt databas – och de flesta spelares lösenord gör det förr eller senare.

Bevisen för att MFA faktiskt stoppar attacker

Argumentet för att kräva 2FA bygger på en del av den mest replikerade säkerhetsforskning som finns. I en kollegialt granskad mätstudie av Microsoft Azure Active Directory-konton med misstänkt aktivitet fann forskarna en dramatisk effekt:
över 99,99 % av MFA-aktiverade konton förblev säkra under undersökningsperioden.
Mätt som en riskminskning ledde
implementering av MFA till en 99,22-procentig minskning av kompromissrisken i hela populationen, och en 98,56-procentig minskning även i fall där inloggningsuppgifter hade läckt.

Den andra siffran är viktigare än rubriksiffran. Den innebär att även efter att en angripare redan har tillgång till en spelares giltiga, läckta lösenord, blockerar en fungerande andra faktor inloggningen i den överväldigande majoriteten av fallen. Med tanke på hur regelbundet inloggningsuppgifter cirkulerar –
kontinuerliga nya dataintrång fortsätter att mata dessa listor med inloggningsuppgifter
– är antagandet att en given spelares lösenord fortfarande är hemligt inte längre säkert att göra. 2FA är den kontroll som förblir effektiv när det antagandet slår fel.

Det är också därför spelspecifika säkerhetsforskare ständigt landar i samma rekommendation.
Starkare identitets- och åtkomsthantering, i synnerhet multifaktorsautentisering, kan avsevärt minska risken för lösenordsbaserade attacker, men användningen är långt ifrån universell.
Det gapet mellan känd effektivitet och faktisk driftsättning är precis vad vår poängsättning är byggd för att straffa.

All tvåfaktorsautentisering är inte likvärdig

Ett casino som listar ”2FA tillgängligt” är inte automatiskt väl skyddat. Autentiseringsmetoder skiljer sig enormt åt i hur resistenta de är mot de specifika attacker som kriminella faktiskt använder mot spelkonton, och vår poängsättning behandlar dem olika.

SMS-koder: det svagaste alternativet som används i stor skala

SMS-engångskoder är bättre än ingen andra faktor, men de har två strukturella svagheter: de kan nätfiskas via falska inloggningssidor, och de kan avlyssnas via SIM-byte, där en kriminell övertalar eller mutar en mobiloperatör att flytta ett offers nummer till en ny enhet.
FBI:s Internet Crime Complaint Center registrerade förluster på över 17 miljoner dollar till följd av SIM-byte i 971 anmälningar under 2025
i USA ensamt, ned från en topp 2022 men fortfarande en aktiv och väldokumenterad teknik. Som ett resultat av detta
specificerar NIST:s Revision 4 av SP 800-63B, färdigställd i juli 2025, att SMS-baserade engångskoder inte längre uppfyller autentiseringssäkerhetskraven för AAL2 och högre.

Autentiseringsappar och push-godkännande

Tidsbaserade engångskoder genererade i en autentiseringsapp, och push-godkännanden skickade till en registrerad enhet, eliminerar SIM-bytevektorn helt eftersom de inte är beroende av telefonnätet. De är fortfarande sårbara för realtidsnätfiske om en användare luras att ange koden på en falsk sajt, men
applikationer bedömda på NIST:s AAL2 måste som minimum erbjuda ett nätfiskeresistent autentiseringsalternativ
, och appbaserade koder ligger långt över SMS i praktisk motståndskraft. Denna nivå är vad vår algoritm behandlar som den lägsta acceptabla implementeringen av 2FA för ett spelkonto.

Hårdvarunycklar och lösenordsnycklar

NIST definierar nätfiskeresistens som autentiseringsprotkollets förmåga att förhindra att autentiseringshemligheter avslöjas för en falsk verifierare utan att förlita sig på användarens egen vaksamhet, och konstaterar tydligt att lösenord, out-of-band-koder och engångslösenord inte uppfyller det kravet eftersom ett värde som användaren skriver in manuellt kan vidarebefordras av en angripare.
Hårdvarusäkerhetsnycklar och lösenordsnycklar byggda på FIDO2/WebAuthn uppfyller det, eftersom den kryptografiska handskakningen är bunden till den legitima sajtens domän och inte kan spelas upp från en lookalike-sida. Få konsumentinriktade spelplattformar erbjuder för närvarande denna nivå, men operatörer som gör det får den starkaste viktningen i vår autentiseringskategori.

Hur GamblScout klassificerar vanliga 2FA-metoder på casinosajter

Metod	Motstår SIM-byte	Motstår realtidsnätfiske	NIST-säkerhetsnivåanpassning	Poängsättning
Ingen andra faktor (enbart lösenord)	Nej	Nej	Under AAL1	Maximalt avdrag
Engångskod enbart via e-post	Delvis	Nej	Under AAL2	Stort avdrag
SMS-engångskod	Nej	Nej	Uppfyller inte AAL2+	Måttligt avdrag
Autentiseringsapp (TOTP) / push-godkännande	Ja	Delvis	Uppfyller AAL2	Neutral till positiv
Hårdvarunyckel eller lösenordsnyckel (FIDO2/WebAuthn)	Ja	Ja	Uppfyller AAL2/AAL3	Maximal poäng

Vad tillsynsmyndigheter och standardiseringsorgan förväntar sig

Autentiseringsstyrka är inte längre enbart en rekommendation om bästa praxis; den är i allt högre grad inbäddad i de regelefterlevnadsramverk som operatörer redan är skyldiga att följa. I Storbritannien kräver Gambling Commissions tekniska standarder för distansspel och programvara att licenstagare säkrar de system som hanterar känslig kundinformation, vilket uttryckligen inkluderar
elektroniska system som registrerar, lagrar, bearbetar, delar, överför eller hämtar känslig kundinformation, till exempel kredit-/betalkortuppgifter, autentiseringsinformation och kundens kontosaldon.

Kommissionen har baserat dessa säkerhetskrav på relevanta avsnitt i bilaga A till standarden ISO/IEC 27001:2022
, och
de organisations- och teknologikontroller som refereras inkluderar 5.16 identitetshantering, 5.17 autentiseringsinformation och 8.5 säker autentisering.
Det revisionsomfånget ger autentiseringskontroller formell regulatorisk tyngd, inte bara operationell relevans, för varje operatör som innehar en brittisk licens. Vi beskriver hur dessa revisionsåtaganden sträcker sig till tredjepartsbetalningsflöden i vår analys av revisioner av betalningsgateways.

I den amerikanska federala sektorn pekar utvecklingen i samma riktning.
Microsofts egen forskning visar att MFA kan blockera mer än 99,2 % av attacker som syftar till att kompromissa konton, vilket är anledningen till att Azure började kräva obligatorisk MFA för alla inloggningsförsök från och med 2024.
NIST:s riktlinjer för identitet, som många företagssäkerhetsprogram behandlar som den faktiska amerikanska referensstandarden även utanför offentlig sektor, har rört sig i takt med detta genom att depreciera svagare andra faktorer och lyfta fram kryptografisk, nätfiskeresistent autentisering som den föredragna nivån. iGaming-plattformar verkar under lättare föreskrivande autentiseringsmandat än banker i de flesta jurisdiktioner, men gapet mellan vad den starkaste tillgängliga vägledningen rekommenderar och vad många casinosajter faktiskt driftsätter är exakt den signal som vår algoritm är byggd för att synliggöra.

Hur GamblScout bedömer tvåfaktorsautentisering

När vår algoritm utvärderar ett casinons kontosäkerhet är förekomsten eller avsaknaden av 2FA en av flera indata, tillsammans med krypterings- och serverkonfigurationskontrollerna som beskrivs i vår testning av SSL och kryptering på serversidan. Vi bockar inte bara av en ruta för ”2FA erbjuds.” Vi verifierar vilken metod som erbjuds som standard, om den är obligatorisk eller frivillig, om den krävs specifikt vid uttag (det mest värdefulla ögonblicket i kontots livscykel), och om operatören tyst har sänkt säkerheten genom att tillåta kontoåterställning att kringgå den andra faktorn – en känd lösning som underminerar en annars solid implementering.

Operatörer som inte erbjuder någon andra faktor alls får det brantaste avdraget i vår kategori Säkerhet, Bedrägeriskydd & Fair Play, som finns i sin helhet på vårt nav för fair play och bedrägeriskydd. Operatörer som enbart erbjuder e-postbaserade koder, vilka lätt kan komprometteras om spelarens e-postkonto i sig är svagt, får ett mindre men ändå betydande avdrag. Operatörer som erbjuder appbaserad TOTP eller push-godkännande som standard bedöms uppfylla grundläggande förväntningar. Den lilla minoritet som för närvarande erbjuder FIDO2-hårdvarunycklar eller lösenordsnycklar får de högsta poängen i denna underkategori, i linje med vart NIST:s egna riktlinjer har rört sig. För sammanhang om hur denna delpoäng passar in i en operatörs övergripande betyg, se vår förklaring av poängsystemet och algoritmiska vikter.

Detta är också ett område där branschens bredare cybersäkerhetsläge spelar roll.
Attacker med kontoövertagande har blivit mer sofistikerade, drivna av den utbredda tillgängligheten av läckta inloggningsdatabaser och automatiserade verktyg för lösenordsstoppning, och dessa attacker underminerar användarförtroendet och utsätter operatörer för ekonomiska förluster – särskilt där autentiseringskontrollerna är otillräckliga – vilket har lett till en tydlig förskjutning mot starkare autentiseringsmekanismer inklusive biometrisk verifiering och beteendeanalys.
Operatörer som tydligt investerar i den förskjutningen, snarare än att behandla autentisering som en regulatorisk kryssruta, får konsekvent bättre poäng i vår bredare säkerhetskategori. Läsare som är intresserade av varför vi viktar automatiserade signaler framför marknadsföringspåståenden från första början kan läsa våra grundprinciper om algoritmisk kontra mänsklig granskning.

Vanliga frågor

Varför sänker GamblScout betyget för casinon som saknar 2FA istället för att bara notera det som en brist?

Eftersom bevisen för skada är kvantifierbara, inte spekulativa.
Aktivering av MFA har visats minska risken för kontointrång med över 99 %, även på konton med redan läckta lösenord
, och
kontoövertagande är den dyraste enskilda bedrägerikategorin som spåras idag
. Ett poängsystem som behandlar en nästan 99 % effektiv kontroll som valfri skulle ge en felaktig bild av den faktiska risken för spelarnas pengar.

Är SMS-baserad 2FA tillräcklig för ett spelkonto?

Det är bättre än ingenting men anses nu vara det svagaste vanliga alternativet.
NIST:s nuvarande riktlinjer för digital identitet räknar inte längre SMS-engångskoder som att de uppfyller kraven för AAL2 och högre
, till stor del på grund av sårbarheter för SIM-byte och nätfiske. Vi bedömer SMS-only-implementeringar måttligt, inte maximalt.

Bör 2FA krävas vid inloggning, vid uttag eller vid båda?

Helst båda, men uttag är den viktigare kontrollpunkten eftersom det är det ögonblick då pengar faktiskt lämnar kontot. En operatör som kräver 2FA enbart vid initial inloggning, utan ny verifiering vid uttag, lämnar en betydande lucka som vår algoritm flaggar separat från den allmänna inloggningssäkerheten, vilken vi också undersöker i vår metodik för revision av betalningsgateways.

Gäller detta även kryptocasinon, med tanke på att vissa använder plånboksbaserad inloggning istället för lösenord?

Ja, även om attackytan skiljer sig åt. Plånboksbaserad autentisering eliminerar risken för lösenordsåteranvändning men introducerar istället risker kopplade till seed-fraser och enhetskompromiss. Vi beskriver hur kryptografisk verifiering förändrar denna kalkyl i vår artikel om zero-knowledge-bevis inom kryptospel, och förväntar oss fortfarande ett sekundärt verifieringslager för varje förvaltad balans.

Metodnotering

För denna kategori skrapar vår algoritm operatörers kontoinställningssidor, hjälpcentersdokumentation och registrerings-/uttagsflöden för att identifiera vilka autentiseringsmetoder som erbjuds, om 2FA är obligatorisk eller frivillig, och om kontoåterställningsvägar kringgår den. Dessa resultat korsrefereras mot NIST:s och ISO/IEC 27001:s autentiseringssäkerhetsnivåer som beskrivs ovan och viktas enligt den metodik som beskrivs på vår sida om poängsystemet och algoritmiska vikter.

Spel innebär risk. Spela bara för pengar du har råd att förlora och använd de insättningsgränser och självexkluderingsverktyg som finns tillgängliga i din jurisdiktion.