De flesta dataintrång hos casinon börjar inte med en briljant hackningsbragd. De börjar med ett lösenord återanvänt från en annan sajt, ett telefonsamtal till en supportavdelning som ingen verifierade, eller en databas som en operatör glömt var nåbar från den öppna internet. En genomgång av spelbranschens bäst dokumenterade incidenter — MGM Resorts, DraftKings, tyska Merkur Group och en rad osäkrade Elasticsearch- och MongoDB-instanser kopplade till offshore-operatörer — visar en begränsad uppsättning återkommande brister: svag identitetsverifiering, bristande krypteringsrutiner och leverantörer med lösare kontroller än själva casinot. Svagare sajter har inte bara otur; de saknar helt enkelt de specifika kontroller som skulle ha stoppat var och en av dessa attacker.
Viktiga slutsatser
- Social engineering, inte skadlig kod, öppnade dörren hos MGM Resorts. Ett vishing-samtal till en IT-supportavdelning gav angriparna administrativ åtkomst till identitetssystem, vilket föregick en ransomware-händelse som MGM uppskattade kostade bolaget cirka 100 miljoner dollar i förlorad EBITDAR.
- Återanvända lösenord låg bakom incidenten hos DraftKings. DraftKings uppgav att inloggningsuppgifterna som användes mot plattformen hade stulits på annat håll och matchats mot konton där kunderna återanvänt samma lösenord, vilket exponerade personuppgifter på nästan 68 000 konton.
- Felkonfiguration, inte en riktad attack, exponerade över 800 000 Merkur Group-spelare under 2025, inklusive IBAN-nummer, kortuppgifter och fullständiga spelsessionsloggar, efter att en forskare upptäckt att backend-API:er lämnats öppna.
- Kostnaderna för dataintrång i hotell- och besöksnäringsrelaterade sektorer ökar, där IBM:s globala forskning för 2025 anger en genomsnittlig intrångskostnad på 4,44 miljoner dollar och hotellsektorn på 4,03 miljoner dollar.
- Brittiska licensvillkor kräver snabb information. Operatörer måste rapportera varje informationssäkerhetsincident som påverkar konfidentialiteten för kunddata, och underlåtenhet att följa detta kan utlösa indragen eller återkallad licens.
Innehållsförteckning
Hur dataintrång hos casinon faktiskt börjar
Branschövergripande forskning om dataintrång pekar genomgående på ett litet antal inträngningsmetoder, och spelrelaterade incidenter följer samma mönster. Verizons rapport Data Breach Investigations Report för 2025, baserad på över 12 000 bekräftade intrång, fann att stulna inloggningsuppgifter förblev den ledande initiala åtkomstvektorn, använd i 22 procent av intrången, med nätfiske omkring 15 procent. Tredjepartsinblandning i intrång fördubblades år för år, från 15 till 30 procent av alla intrång, och den mänskliga faktorn var närvarande i ungefär sex av tio incidenter.
Casinospecifika fall passar direkt in i dessa kategorier:
- Credential stuffing. Angripare tar användarnamn/lösenordspar som läckt från orelaterade intrång och testar dem automatiskt mot ett casinos inloggningssida, i hopp om återanvända lösenord. Detta är vad som drabbade DraftKings i november 2022.
- Social engineering riktad mot personal, inte spelare. Ett övertygande telefonsamtal till en IT-supportavdelning kan kringgå tekniska kontroller helt, vilket skedde hos MGM Resorts.
- Exponerade databaser. Backend-system — ofta ElasticSearch- eller MongoDB-instanser som används för analys eller spelarspårning — lämnas ibland nåbara utan lösenord, ett konfigurationsfel snarare än en “attack” i traditionell mening.
- Risk kopplad till leverantörer och betalningsintegrationer. Casinon leder pengar genom tredjeparts kassasystem, KYC-leverantörer och betalningsprocessorer; en brist i vilken som helst av dessa integrationer kan exponera data som casinot självt aldrig direkt hanterat felaktigt. Vi beskriver hur detta testas i vår metodik för granskning av betalningsgateways.
Svag transportlagerssäkerhet förvärrar alla fyra ovanstående faktorer. En sajt som fortfarande kör föråldrade TLS-konfigurationer eller blandat innehåll ger credential stuffing-botar och sessionskapare en enklare väg in när de väl fått fotfäste — ett gap vi testar direkt för, beskrivet i hur vi testar casinos SSL och serversidig kryptering.
Fyra dataintrång som visar mönstret
Tabellen nedan sammanfattar offentligt bekräftade eller av tillsynsmyndigheter erkända incidenter som drabbat plattformar för spel om riktiga pengar, ordnade efter primär attackvektor snarare än allvarlighetsgrad.
| Operatör/nätverk | År | Primär vektor | Exponerad data | Omfattning |
|---|---|---|---|---|
| MGM Resorts (inkl. BetMGM-närliggande system) | 2023 | Vishing-samtal till IT-supportavdelning, följt av ransomware | Namn, kontaktuppgifter, kön, födelsedatum, körkortsnummer; personnummer (Social Security) och passnummer för vissa kunder | Omfattningen sträckte sig över system vid amerikanska anläggningar; en relaterad grupptalan hänvisar till upp till 200 miljoner gästregister |
| DraftKings | 2022 | Credential stuffing (återanvända lösenord) | Namn, adresser, telefonnummer, e-postadresser, profilbilder; kontomedel | 67 995 kundkonton bekräftat drabbade; upp till 300 000 dollar uttagna |
| Merkur Groups casinoplattformar | 2025 | Felkonfigurerade backend-API:er | Namn, spelar-ID, IBAN-nummer, kortuppgifter, fullständiga sessions-/spelloggar | Över 800 000 spelarregister över flera sajter |
| Mountberg-kopplat casinonätverk (azur-casino.com m.fl.) | 2019 | Osäkrad ElasticSearch-databas | Namn, adresser, delvisa kortnummer, saldon, insättnings-/uttagshistorik | 108 miljoner spelposter |
| Fixbet (olicensierad operatör) | 2023 | Exponerad MongoDB-instans, hänförd till mänskligt fel | Användarkontouppgifter, server- och SMB-loggar, e-postloggar | 850 000 användare |
I MGM-fallet bröt sig angripare in i MGM:s nätverk genom social engineering, stal känslig data och krypterade över hundra ESXi-hypervisorer, vilket störde spelautomater, hotellnyckelsystem och bokningar i flera dagar. MGM:s egen 10-K-rapport är specifik om vad som stals: namn, kontaktinformation, kön, födelsedatum och körkortsnummer för många kunder, med personnummer och passnummer inhämtade för ett begränsat antal. Bolaget har sedan dess bekräftat den ekonomiska effekten till ungefär 100 miljoner dollar i förlorad EBITDAR för kvartalet.
DraftKings utgör ett tydligare exempel på en svag-länk-brist utanför operatörens eget perimeterskydd. Bolaget uppgav att dess system inte hade brutits sig in i, utan att de drabbade kundernas inloggningsuppgifter hade stulits på annat håll och applicerats på deras DraftKings-konton, där samma lösenord återanvänts. Väl inne agerade angriparna snabbt: kriminella ändrade snabbt 2FA-inställningarna genom att omdirigera till ett annat telefonnummer, vilket stängde ute de faktiska kontoägarna. Den detaljen är exakt varför vi behandlar tvåfaktorsautentisering som ett poängsatt kriterium snarare än en kryssruta — se 2FA-mandatet för hur en kapningsbar andra faktor kan vara värre än ingen alls.
Fallet med Merkur Group är det senaste storskaliga exemplet på ren felkonfiguration. En forskare upptäckte att Merkurs casino-backend exponerade fullständiga namn, kontoanvändarnamn och interna spelar-ID:n, detaljerade spelsessionsloggar inklusive IP-adresser och enhetsdetaljer, samt omfattande finansiella register, med transaktioner genom minst sju betalningsleverantörer exponerade, inklusive omkring 104 000 IBAN-register via Trustly och 128 965 kortuppgiftsregister via Adyen. Varken credential stuffing eller social engineering krävdes — datan var helt enkelt nåbar.
Vad angripare gör med stulen casinodata
Data från casinokonton monetariseras på olika sätt beroende på vad som stulits. Kontouppgifter kopplade till saldon är de mest omedelbart likvida: i DraftKings-incidenten såldes stulna eller verifierade DraftKings-inloggningar på darkweb för 10 till 35 dollar, komplett med instruktioner för att ta ut kopplade banktillgångar. Identitetsdata — födelsedatum, körkorts- eller passnummer, de kategorier MGM bekräftade hade exponerats — har längre hållbarhet och förser syntetiskt identitetsbedrägeri och kontoöppningsbedrägerier med bränsle långt efter att rubrikerna försvunnit.
En tredje kategori gäller specifikt olicensierade eller “underjordiska” operatörer. När forskare hittade en exponerad databas tillhörande Fixbet, ett Tor-tillgängligt casino riktat mot en marknad där spel till stor del är förbjudet, noterade de att angripare skulle kunna utpressa casinots användare, eftersom användarna själva ägnade sig åt aktivitet som är olaglig i deras jurisdiktion. Den risken existerar helt enkelt inte hos en korrekt licensierad operatör, vilket är en anledning till att jurisdiktion och licensnivå väger så tungt i vår poängsättning.
Centraliserade, serversidiga spelardatabaser är också det som gör ett enda intrång så skadligt — en felkonfigurerad instans kan exponera flera års spelhistorik på en gång. Det är en strukturell svaghet vi undersöker direkt i blockkedjeregister kontra traditionella servrar, eftersom de två arkitekturerna misslyckas på mycket olika sätt.
Varför svag licensiering och offshore-hosting ökar risken
Elasticsearch-läckan från 2019 är belysande på grund av vem som ägde datan, inte bara dess storlek. Forskare spårade de exponerade posterna till över 108 miljoner spel kopplade till en Curaçao-licensierad operatör, där spelarnas riktiga namn, hem- och e-postadresser, telefonnummer, födelsedatum och kontosaldon allt exponerades. Många av de drabbade varumärkena drevs under ett och samma Cypern-baserade moderbolag, ett bolag kallat Mountberg, som körde flera konsumentriktade varumärken på delad, uppenbarligen underskyddad, bakomliggande infrastruktur — ett vanligt kostnadsbesparande mönster bland lägre rankade licensinnehavare.
Regulatoriska system skiljer sig kraftigt åt i hur de hanterar den här typen av brister. Enligt den brittiska spelmyndighetens (UK Gambling Commission) licensvillkor är operatörer skyldiga att rapportera varje brott mot licensinnehavarens informationssäkerhet som negativt påverkar konfidentialiteten för kunddata eller hindrar kunder från att komma åt sina konton i mer än 24 timmar, och myndigheten har klargjort att ett ekonomiskt straff kan utdömas närhelst man anser att ett licensvillkor har brutits. En offshore- eller löst reglerad licens har vanligtvis ingen motsvarande rapporteringsplikt alls, vilket innebär att ett intrång hos en svag sajt kanske aldrig formellt rapporteras, än mindre åtgärdas under regulatoriskt tryck.
De regulatoriska och ekonomiska följderna
Kostnaderna för dataintrång har blivit en standardpost för stora operatörer. IBM:s rapport Cost of a Data Breach för 2025, baserad på 600 drabbade organisationer, satte den globala genomsnittliga intrångskostnaden till 4,44 miljoner dollar, med hotellsektorn på i genomsnitt 4,03 miljoner dollar — en kategori som i stor utsträckning överlappar med casino- och resortoperatörer. MGM:s egna upplysningar ger ett hårdare tal för en enskild incident: bolagets 8-K-rapport uppskattade en negativ påverkan på ungefär 100 miljoner dollar på justerad fastighets-EBITDAR för kvartalet, utöver efterföljande grupptalan och en förlikningsfond som senare kompenserade gäster med belopp som varierade beroende på hur känslig datan var.
Brittisk tillsynsdata visar det bredare mönstret för vad som händer när en tillsynsmyndighet börjar granska en operatörs kontroller, även när den ursprungliga utlösaren inte är ett dataintrång. Senaste åtgärderna från Gambling Commission inkluderar ett böterbelopp på 2 022 000 pund mot Spreadex, 1 miljon pund mot ProgressPlay och ett straff på 10 miljoner pund mot Platinum Gaming, operatören bakom två välkända konsumentvarumärken, efter en licensgranskning som också krävde en oberoende tredjepartsrevision. Dessa fall handlade primärt om brister i penningtvättsbekämpning och socialt ansvarstagande snarare än dataintrång, men de illustrerar samma underliggande poäng: när en tillsynsmyndighet väl öppnar en licensgranskning tenderar den att blottlägga alla kontrollbrister på en gång, informationssäkerhet inkluderad.
Tredjepartsexponering ökar generellt, inte minskar. Verizons analys fann att intrång som involverar externa partners fördubblades år för år och nu står för 30 procent av alla intrång, vilket är exakt den dynamik som låg bakom Merkurs exponering via betalningsleverantör. Ett casino kan härda sina egna servrar och ändå bli komprometterat via en KYC-leverantör, affiliate-tracker eller betalningsgateway det inte fullt ut kontrollerar — den specifika risk som våra granskningar av betalningsgateways är utformade för att flagga.
Vanliga frågor
Vad är den enskilt vanligaste orsaken till att ett casinokonto blir hackat?
Baserat på bekräftade incidenter är credential stuffing drivet av återanvända lösenord den vanligaste orsaken till enskilda kontokapningar, vilket sågs i DraftKings-fallet, där de drabbade kundernas inloggningsuppgifter hade stulits på annat håll och applicerats på deras DraftKings-konton. Att använda ett unikt lösenord per sajt och aktivera 2FA besegrar denna metod nästan helt.
Innebär en speldrift-licens att ett casino inte kan drabbas av intrång?
Nej. En licens påverkar främst vad som sker efter ett intrång: tier-ett-myndigheter som brittiska Gambling Commission kräver snabb information om konfidentialitetsincidenter och kan dra in licensen eller bötfälla en licensinnehavare för otillräckliga kontroller, medan offshore-licensinnehavare ofta inte har någon motsvarande rapporteringsplikt, så svag säkerhet kan förbli oåtgärdad i flera år.
Vilken spelardata är mest värdefull för angripare?
Kopplade betalningsuppgifter och aktiva kontosaldon är mest omedelbart kontantgörbara, vilket visas av återförsäljningen på darkweb av komprometterade DraftKings-inloggningar. Myndighets-ID-nummer, födelsedatum och adresser — den data MGM bekräftade stals — är mindre likvid men mer hållbar, och ger bränsle till långsiktigt identitetsbedrägeri.
Hur kan en spelare minska sin egen exponering på en svag sajt?
Använd en lösenordshanterare så att inget casino-inloggning återanvänds någon annanstans, aktivera 2FA via en autentiseringsapp snarare än SMS där det är möjligt, och koppla bort sparade bankuppgifter när du inte aktivt gör uttag. Dessa steg neutraliserar exakt den metod som användes mot DraftKings kunder 2022.
Metodik
För denna kategori korsrefererar vår algoritm en operatörs licensnivå och jurisdiktion mot offentliga register över dataintrång, tillsynsmyndigheters efterlevnadsbeslut, samt förekomsten eller avsaknaden av obligatorisk 2FA och aktuella TLS-konfigurationer som fångats under skrapning. Dessa signaler bidrar till säkerhetsdelpoängen som beskrivs i vårt nav för säkerhet, bedrägeriupptäckt och fair play och viktas tillsammans med andra faktorer enligt poängsystemet och de algoritmiska viktningarna. Ingen operatör betalar för att inkluderas eller placeras i denna analys.
Spel innebär risk. Spela endast med pengar du har råd att förlora och använd de insättningsgränser och självavstängningsverktyg som finns tillgängliga i din jurisdiktion.
