Tabcorp 因客户账户安全漏洞被处以24.9万美元罚款

Tabcorp因客户账户安全漏洞被处以35万澳元（29.5万美元）的罚款，这些漏洞导致部分投注账户暴露于未经授权的访问和提款之下。

维多利亚州博彩与赌场管制委员会（VGCCC）对Tabcorp VIC Pty Ltd处以了处罚。在9月21日的裁决中，该监管机构认定该运营商在2025年1月30日至6月23日期间违反了四项技术标准。

此次违规事件涉及多重身份验证（MFA），该功能要求使用不止一种身份验证方式才能访问账户。Tabcorp于2025年3月推出了该功能，但部分客户仍可继续使用不包含该功能的旧版应用程序。

尽管截至2025年4月1日，99%的客户已经启用了多因素认证，但直到6月24日才对所有客户强制执行，届时Tabcorp要求用户升级TAB应用程序。

剩余的漏洞使一些休眠账户暴露于2025年5月报告的一起机器人攻击之下。Tabcorp表示，攻击者使用的登录凭据很可能是从暗网上获取的。全国范围内共被盗取约31,000澳元（22,000美元），其中包括维多利亚州账户被盗取的13,471澳元（9,567美元）。

该决定还详细说明了至少195个客户账户被未经授权访问的情况，其中有308,098.91澳元（219,000美元）被提取。在这些客户中，14名客户在罚款所涵盖的期间内受到影响；其余客户则是在监管豁免措施实施期间受到影响的。

受影响的客户已由其金融机构或 Tabcorp 进行了赔付。

监管机构已多次批准Tabcorp推行多因素认证（MFA）的延期，最终的豁免期将于2025年1月29日结束。它在2月份拒绝了进一步的申请。

在回应纪律通知时，Tabcorp辩称，替代安全控制措施符合标准，并且任何不合规的情况在多因素认证于3月推出后即告终止。它还提到了技术挑战。

委员会驳回了这些论点，称其是对公司义务的“过于狭隘和技术性的解释”。委员会认为，为了合规，必须采取多方协议（MFA）。

在确定处罚时，VGCCC承认了技术困难、客户退款以及实施所投入的资源。它将违规行为定性为严重程度较低，且未发现故意漠视监管义务的行为。

然而，它指出 Tabcorp 的 不合规历史使得其面临的罚款比通常情况下应有的罚款更高。该历史包括 2024年对该集团前维多利亚州牌照持有者处以460万澳元（327万美元）的罚款，原因是其在负责任博彩方面存在失职。