Il 7 settembre 2023, Caesars Entertainment è stata bersaglio di uno dei cyberattacchi più significativi nella storia dei casinò. L'attacco è stato condotto da un collettivo di hacker conosciuto come Scattered Spider, in cooperazione con un gruppo ransomware-as-a-service chiamato ALPHV/BlackCat. Caesars ha pagato agli aggressori circa quindici milioni di dollari in criptovaluta per impedire la divulgazione pubblica dei dati dei clienti rubati e la crittografia a lungo termine dei sistemi interni.
L'intrusione è iniziata circa due settimane prima della data di divulgazione del 7 settembre. Scattered Spider ha utilizzato una tecnica chiamata ingegneria sociale per ottenere l'accesso iniziale. Gli hacker hanno contattato il servizio di supporto IT esternalizzato di Caesars per telefono, si sono spacciati per un dipendente di Caesars che aveva perso l'accesso, e hanno convinto il tecnico del servizio di supporto a reimpostare le credenziali per un utente interno. La tecnica non richiede alcun exploit software. Sfrutta un lavoratore di servizio umano addestrato che è incentivato a risolvere i ticket rapidamente piuttosto che a verificare rigorosamente l'identità del chiamante.
L'account utente compromesso aveva privilegi amministrativi su porzioni sostanziali della rete interna di Caesars. Entro poche ore dal reset delle credenziali, gli aggressori si erano spostati lateralmente attraverso la rete e avevano iniziato a esfiltrare dati. I dati rubati includevano l'intero database di fedeltà Caesars Rewards, che conteneva informazioni personali per circa sessantacinque milioni di membri. Le informazioni includevano nomi, indirizzi, date di nascita, numeri di patente di guida e numeri di previdenza sociale per i livelli di adesione più alti.
Pratica questa strategia
Metti in pratica con un bonus di benvenuto di Fino a $10.000 + 200 giri gratuiti.
Il team di risposta agli incidenti di Caesars ha identificato la violazione e il furto di dati entro quarantotto ore dall'intrusione iniziale. I team legale e di sicurezza dell'azienda hanno ingaggiato un negoziatore ransomware terzo. La richiesta iniziale di Scattered Spider era di circa trenta milioni di dollari. La negoziazione ha ridotto la cifra a quindici milioni di dollari nell'arco di un periodo di circa dieci giorni. Caesars ha pagato i quindici milioni di dollari in criptovaluta all'inizio di settembre 2023. Il pagamento è stato divulgato in un deposito 8-K presso la Securities and Exchange Commission il 14 settembre.
Cinque giorni dopo il pagamento di Caesars, Scattered Spider ha eseguito un attacco quasi identico contro MGM Resorts International. MGM ha rilevato l'intrusione a una velocità comparabile ma ha preso la decisione strategica opposta. MGM ha rifiutato di pagare qualsiasi riscatto. Gli aggressori hanno risposto distribuendo ransomware che ha crittografato i sistemi interni in tutte le proprietà MGM a Las Vegas. La rete delle proprietà MGM è stata effettivamente offline per circa dieci giorni. Le slot machine non funzionavano. Le carte chiave delle camere d'albergo non funzionavano. I sistemi di punto vendita dei ristoranti erano inutilizzabili.
L'approccio di Caesars è costato all'azienda un pagamento di riscatto di quindici milioni di dollari più una stima aggiuntiva di trenta-cinquanta milioni di dollari in risposta agli incidenti, spese legali, multe normative e monitoraggio del credito dei clienti. L'approccio di MGM è costato all'azienda circa cento milioni di dollari di entrate perse a causa dell'interruzione di dieci giorni più circa cento-centocinquanta milioni di dollari in risposta agli incidenti e rimedio. La differenza di costo totale tra i due approcci era di circa centocinquanta milioni di dollari a favore del pagamento del riscatto.
Sia Caesars che MGM hanno affrontato controllo normativo a seguito degli attacchi. La Federal Trade Commission ha aperto indagini su entrambe le società. I regolatori statali del gioco in Nevada e New Jersey hanno richiesto rapporti dettagliati sulla risposta alla violazione. La decisione di Caesars di pagare non era tecnicamente illegale secondo la legge degli Stati Uniti nel 2023. Tuttavia, l'Office of Foreign Assets Control aveva avvertito nel 2020 che i pagamenti di riscatto a attori di minaccia sanzionati potevano comportare responsabilità di sanzioni secondarie. L'esposizione legale del pagamento di Caesars è ancora sotto revisione presso il Dipartimento del Tesoro a partire dal 2026.
Scattered Spider, conosciuto anche come UNC3944 o Octo Tempest nei rapporti di intelligence sulle minacce dell'industria, è un gruppo di circa cinquanta-cento individui di lingua inglese che operano in gran parte dagli Stati Uniti, dal Regno Unito e dal Canada. Più membri sono stati identificati, arrestati e incriminati tra il 2023 e il 2025. La tecnica preferita del gruppo rimane l'ingegneria sociale del personale dell'helpdesk, che si è dimostrata più affidabile della consegna di malware tradizionale per penetrare in ambienti aziendali ben difesi.
La violazione dei dati Caesars Rewards ha colpito circa sessantacinque milioni di membri. Caesars ha offerto a tutti i membri colpiti due anni di monitoraggio gratuito del credito tramite Experian. Le azioni collettive sono state intentate presso la Corte Distrettuale degli Stati Uniti per il Distretto del Nevada entro trenta giorni dalla divulgazione della violazione. Le cause hanno cercato risarcimento per pratiche di sicurezza dei dati negligenti e tempistiche inadeguate di notifica della violazione. All'inizio del 2026, il contenzioso consolidato si è risolto per una somma stimata di trenta milioni di dollari su tutte le classi di attori.
Gli attacchi di Caesars e MGM hanno fondamentalmente cambiato il modo in cui l'industria dei casinò degli Stati Uniti affronta la cybersicurezza. Le due società e l'industria più ampia hanno investito circa un miliardo di dollari cumulativamente nell'infrastruttura di cybersicurezza tra il 2023 e il 2026. Gli attacchi hanno accelerato il dispiegamento dell'autenticazione multifattoriale, delle architetture di rete a fiducia zero e dei centri operativi di sicurezza 24 ore su 24 in tutti i principali operatori di Las Vegas. I due attacchi rimangono l'evento di cybersicurezza di una singola settimana più significativo nella storia dell'industria globale dei casinò.