Op 7 september 2023 was Caesars Entertainment het doelwit van een van de meest significante cyberaanvallen in de geschiedenis van casino's. De aanval werd uitgevoerd door een hackercollectief bekend als Scattered Spider, in samenwerking met een ransomware-as-a-service groep genaamd ALPHV/BlackCat. Caesars betaalde de aanvallers ongeveer vijftien miljoen dollar in cryptovaluta om de openbare vrijgave van gestolen klantgegevens en de langetermijnversleuteling van interne systemen te voorkomen.
De inbraak begon ongeveer twee weken voor de openbaarmakingsdatum van 7 september. Scattered Spider gebruikte een techniek genaamd social engineering om initiële toegang te krijgen. De hackers contacteerden de uitbestede IT-supporthelpdesk van Caesars per telefoon, deden zich voor als een Caesars-werknemer die toegang had verloren, en overtuigden de helpdesktechnicus om de inloggegevens van een interne gebruiker te resetten. De techniek vereist geen software-exploit. Het buit een getrainde menselijke servicemedewerker uit die geprikkeld is om tickets snel op te lossen in plaats van de identiteit van de beller streng te verifiëren.
Het gecompromitteerde gebruikersaccount had administratieve privileges over substantiële delen van het interne netwerk van Caesars. Binnen enkele uren na het resetten van de inloggegevens hadden de aanvallers zich lateraal door het netwerk verplaatst en waren ze begonnen met het exfiltreren van gegevens. De gestolen gegevens omvatten de gehele Caesars Rewards loyaliteitsdatabase, die persoonlijke informatie bevatte van ongeveer vijfenzestig miljoen leden. De informatie omvatte namen, adressen, geboortedata, rijbewijsnummers en sociale zekerheidsnummers voor de hoogste lidmaatschapsniveaus.
Oefen deze strategie
Oefen wat u hebt geleerd met een welkomstbonus van Tot $10.000 + 200 gratis spins.
Het incidentresponseteam van Caesars identificeerde de inbreuk en gegevensdiefstal binnen achtenveertig uur na de initiële inbraak. De juridische en beveiligingsteams van het bedrijf schakelden een externe ransomware-onderhandelaar in. De initiële eis van Scattered Spider was ongeveer dertig miljoen dollar. De onderhandeling verminderde het bedrag tot vijftien miljoen dollar over een periode van ongeveer tien dagen. Caesars betaalde de vijftien miljoen dollar in cryptovaluta begin september 2023. De betaling werd bekendgemaakt in een 8-K-deponering bij de Securities and Exchange Commission op 14 september.
Vijf dagen na de Caesars-betaling voerde Scattered Spider een bijna identieke aanval uit op MGM Resorts International. MGM detecteerde de inbraak met vergelijkbare snelheid maar nam de tegenovergestelde strategische beslissing. MGM weigerde enige losgeld te betalen. De aanvallers reageerden door ransomware in te zetten die interne systemen versleutelde in alle MGM-eigendommen in Las Vegas. Het MGM-eigendomsnetwerk was effectief offline gedurende ongeveer tien dagen. Gokautomaten werkten niet. Hotelkamersleutelkaarten werkten niet. Restaurant point-of-sale-systemen waren onbruikbaar.
De Caesars-benadering kostte het bedrijf een losgeldbetaling van vijftien miljoen dollar plus een geschatte aanvullende dertig tot vijftig miljoen dollar in incidentrespons, juridische kosten, regelgevingsboetes en klantkredietmonitoring. De MGM-benadering kostte het bedrijf ongeveer honderd miljoen dollar aan verloren inkomsten door de tiendaagse uitval plus ongeveer honderd tot honderdvijftig miljoen dollar in incidentrespons en herstel. Het totale kostenverschil tussen de twee benaderingen was ongeveer honderdvijftig miljoen dollar in het voordeel van het betalen van het losgeld.
Zowel Caesars als MGM kregen te maken met regelgevende controle na de aanvallen. De Federal Trade Commission opende onderzoeken naar beide bedrijven. Staatsgokregulators in Nevada en New Jersey eisten gedetailleerde rapporten over de inbreukrespons. De beslissing van Caesars om te betalen was technisch niet illegaal volgens de Amerikaanse wet in 2023. Echter, het Office of Foreign Assets Control had in 2020 gewaarschuwd dat losgeldbetalingen aan gesanctioneerde dreigingsactoren secundaire sanctieaansprakelijkheid konden inhouden. De juridische blootstelling van de Caesars-betaling wordt vanaf 2026 nog steeds beoordeeld door het Ministerie van Financiën.
Scattered Spider, ook bekend als UNC3944 of Octo Tempest in industriële dreigingsinformatierapporten, is een groep van ongeveer vijftig tot honderd Engelssprekende individuen die grotendeels opereren vanuit de Verenigde Staten, het Verenigd Koninkrijk en Canada. Meerdere leden zijn geïdentificeerd, gearresteerd en aangeklaagd tussen 2023 en 2025. De voorkeurstechniek van de groep blijft social engineering van helpdeskpersoneel, wat betrouwbaarder is gebleken dan traditionele malware-levering voor het binnendringen van goed verdedigde bedrijfsomgevingen.
De Caesars Rewards-gegevensinbreuk trof ongeveer vijfenzestig miljoen leden. Caesars bood alle getroffen leden twee jaar gratis kredietmonitoring via Experian aan. Class action-rechtszaken werden binnen dertig dagen na de openbaarmaking van de inbreuk aangespannen bij de United States District Court voor het District of Nevada. De rechtszaken zochten schadevergoeding voor nalatige gegevensbeveiligingspraktijken en inadequate inbreukmeldingstermijnen. Begin 2026 is het geconsolideerde geschil afgewikkeld voor een geschat bedrag van dertig miljoen dollar over alle eiserklassen.
De Caesars- en MGM-aanvallen veranderden fundamenteel hoe de Amerikaanse casino-industrie cybersecurity benadert. De twee bedrijven en de bredere industrie hebben tussen 2023 en 2026 cumulatief ongeveer een miljard dollar geïnvesteerd in cybersecurity-infrastructuur. De aanvallen versnelden de uitrol van multi-factor authenticatie, zero-trust netwerkarchitecturen en 24-uurs security operations centers bij alle grote Las Vegas-exploitanten. De twee aanvallen blijven het meest significante cybersecurity-evenement van een enkele week in de geschiedenis van de wereldwijde casino-industrie.