2023年9月，美国两家最大的娱乐场集团在几天内相继遭到攻击。美高梅（MGM Resorts）系统停摆十天，预计损失超过1亿美元。凯撒娱乐（Caesars）披露了一次攻击，其线上业务未受影响，据广泛报道其支付了赎金。这两起攻击都不是从利用博彩软件的高明漏洞开始的。
本文从治理角度审视iGaming中的信息安全：监管机构要求的标准和审计、最近已过的截止日期，以及近期事件给运营商和供应商带来的教训。关于娱乐场软件安全的技术层面，请参阅 娱乐场软件安全.
适用的标准
ISO/IEC 27001:2022
ISO 27001是大多数博彩监管机构所参照的信息安全管理标准。2013版已被取代，旧版证书在2025年10月31日之后失效，因此任何持有ISO 27001的运营商或供应商现在都应持有2022版。
PCI DSS 4.x
如果您存储、处理或传输银行卡数据，就适用PCI DSS。3.2.1版已于2024年3月31日退役，4.0版中的远期要求已于2025年3月31日起强制执行。许多运营商让支付服务商直接处理银行卡数据，以缩小自身的合规范围。
监管机构的要求
英国博彩委员会
英国博彩委员会的远程技术标准包含基于ISO 27001:2022附录A中44项控制措施的安全要求。这些要求适用于关键系统：保存客户支付或余额数据的系统、随机数生成器、游戏结果、网络出入口，以及传输敏感数据的网络。自2024年10月31日起新增了云服务控制项5.23。
远程娱乐场、投注和宾果等持牌者，必须每年依据ISO 27001:2022进行涵盖上述要求的安全审计。首次审计须在获发牌照后六个月内完成，重大不符合项必须立即报告。
马耳他博彩管理局
马耳他博彩管理局的持牌者在上线前需进行系统审计，并在获发牌照约一年后接受系统审查，由马耳他博彩管理局批准的审计服务机构在实际运行环境中进行。
安大略省
AGCO的网络博彩标准要求运营商遵循公认的安全框架，由合格人员定期进行安全评估（包括对供应商的评估），并使用多因素身份验证。
欧盟NIS2
博彩并未被列为欧盟NIS2指令中的行业，但运营商仍可能因其规模、作为数字服务提供商或通过供应链而被纳入范围，其IT和云服务供应商也往往在范围之内。马耳他和意大利都已将NIS2转化为本国法律。
近期事件的教训
| 事件 | 日期 | 发生了什么 |
|---|---|---|
| MGM Resorts | 2023年9月 | 系统中断10天；2019年3月之前的客户数据被盗；预计损失超过1亿美元 |
| Caesars Entertainment | 2023年9月 | 披露遭网络攻击；线上业务未受影响 |
| DraftKings | 2022年11月 | 撞库攻击影响约68,000名客户；约30万美元被提走，后由公司补回 |
| Bragg Gaming | （2025年8月） | 内部IT系统发生事件；公司表示初步调查显示运营和个人数据未受影响 |
| Boyd Gaming | （2025年9月） | 内部IT系统遭未授权访问；员工数据被盗 |
| 库拉索博彩管理局门户 | 2026年9月公布 | 一个以虚假身份创建的账户保持活跃约九个月 |
有三点教训尤为突出。第一，人往往是突破口。据广泛报道，2023年娱乐场攻击事件中的攻击者利用的是针对服务台的社会工程手段，而不是软件漏洞。第二，重复使用的密码是玩家账户的长期风险，这正是撞库攻击奏效的原因，也是多因素身份验证重要的原因。第三，供应链也是您攻击面的一部分：供应商、监管机构的门户和IT服务商都持有您的数据。
延伸阅读： 安全专业提示：如何为您的iGaming客户实施强有力的网络钓鱼防护
DDoS仍是博彩业的难题
Cloudflare 2025年第四季度的DDoS报告将博彩与娱乐场列为遭受攻击第三多的行业。Cloudflare表示，2025年全年共缓解了4,710万次DDoS攻击，是前一年的两倍多。对运营商而言，在重大比赛或锦标赛期间遭受攻击意味着收入和信任的双重损失，因此应在高峰赛事前而非事后测试DDoS防护。
实用安全检查清单
- 持有ISO 27001:2022认证或使您的控制措施与之对齐，并随时备好审计证据。
- 尽可能不让银行卡数据进入您的系统，并确认您的PCI DSS范围。
- 员工使用多因素身份验证，并向玩家提供该功能。
- 培训服务台和客服人员在重置访问权限前核实身份。
- 审查供应商的安全状况，包括事件通知条款。
- 在重大赛事前测试DDoS防护和事件响应。
- 了解哪些事件必须向各监管机构报告，以及报告时限。
常见问题
在线娱乐场必须获得ISO 27001吗？
在英国，远程娱乐场、投注和宾果持牌者需每年依据ISO 27001:2022进行安全审计。其他监管机构要求安全审计或安全框架，但不一定点名ISO 27001。
使用支付服务商后还需要PCI DSS吗？
通常您的合规范围会小很多，但很少为零。请与您的支付服务商和收单机构确认PCI DSS中哪些部分仍适用于您。
博彩业数据泄露最常见的原因是什么？
近期的重大事件指向社会工程以及被盗或重复使用的凭证，而不是游戏软件的漏洞。
如今，iGaming的安全已成为一门需要审计、有截止日期的专业工作。保持认证有效，把员工和供应商视为攻击面的一部分，并在需要之前演练响应流程。如果您使用白标平台，请确认您的供应商覆盖了哪些控制措施。我们关于 白标娱乐场 的指南解释了各方的责任分工。
Gamingsoft 是领先的iGaming聚合商，通过单一API集成将运营商与200多家顶级游戏工作室连接起来。我们的GS Connect平台可即时访问超过10,000款游戏，涵盖老虎机、真人荷官游戏、体育博彩和捕鱼游戏，无需与每家供应商单独洽谈。我们支持多种货币和语言，让您能够快速轻松地进入新市场。我们的技术团队全天候待命，确保平台运行平稳顺畅。无论您是要推出新平台还是扩展现有游戏库，Gamingsoft都能提供相应的工具和合作伙伴资源，加速您的业务增长。欢迎联系我们，了解我们能为您的业务提供哪些帮助。
