Tabcorp multada con A$350,000 por el VGCCC por fallos en la autenticación multifactor

Tabcorp recibió una multa de A$350,000 de la Comisión de Control del Juego y Casino de Victoria tras no cumplir con los requisitos de autenticación multifactor (MFA) para las cuentas de los clientes entre enero y junio de 2025. La VGCCC encontró que, a pesar de una extensión regulatoria y un compromiso declarado con la implementación, Tabcorp no introdujo las protecciones MFA a tiempo, lo que resultó en un impacto directo en los clientes y en el incumplimiento de cuatro estándares técnicos.

Fallo y Acción Ejecutiva del VGCCC

El VGCCC emitió la multa de A$350,000 tras determinar que Tabcorp no había proporcionado los controles MFA obligatorios requeridos bajo su licencia. El regulador juzgó que esta omisión hacía que la plataforma de apuestas de Tabcorp fuera vulnerable. La violación de las reglas de MFA de Tabcorp ocurrió durante un período de seis meses, desde el 14 de agosto de 2024, cuando comenzó su nueva licencia, hasta el 24 de junio de 2025, fecha en la que la compañía reportó el cumplimiento total. El presidente de la VGCCC, Chris O’Neill, declaró:

“Esperamos sistemas sólidos para prevenir infracciones y proteger a los clientes. Si se producen violaciones, es nuestra expectativa que los licenciados las identifiquen y resuelvan rápidamente y aborden su causa subyacente.”

La Comisión subrayó que los requisitos de protección al cliente son esenciales para salvaguardar a los clientes y mantener la confianza en los productos regulados. Esta acción ejecutiva sigue a multas anteriores: una de A$4.6 millones en 2024 por violaciones repetidas del código de juego responsable y otra de A$1 millón en septiembre de 2023.

Cronología de los Fallos en la Autenticación Multifactor

Tabcorp informó por primera vez a la VGCCC en julio de 2024 que no podría cumplir con los nuevos estándares técnicos de MFA para la fecha de inicio de la licencia del 14 de agosto de 2024. El regulador otorgó una extensión hasta el 29 de enero de 2025. El 24 de enero de 2025, justo antes de la nueva fecha límite, el operador notificó al regulador que se habían descubierto problemas significativos en las pruebas beta. Cuando Tabcorp solicitó otra extensión, la VGCCC se negó.

El 24 de junio de 2025, Tabcorp informó a la Comisión que había implementado las medidas MFA requeridas, cerrando así una brecha de cumplimiento que duró aproximadamente seis meses. Según Tabcorp, se había logrado una adopción del 99% de MFA para el 1 de abril de 2025. A pesar de la demora, la VGCCC encontró que el período entre agosto de 2024 y junio de 2025 constituyó una violación directa de las reglas de licencia.

Impacto en el Cliente y Brechas de Seguridad

La implementación tardía de Tabcorp tuvo consecuencias directas para los clientes. El 20 de enero de 2025, Tabcorp divulgó a la VGCCC que un "actor malicioso" había accedido a al menos 195 cuentas de clientes y retirado un total de A$308,098.91. Catorce de esos casos ocurrieron durante el período de incumplimiento. Tabcorp también informó de un ataque de bot en mayo de 2025, donde hackers intentaron explotar cuentas inactivas—sin MFA activa—utilizando credenciales que se creen obtenidas de la dark web. Este incidente llevó a que se robaran otros A$13,471.

Los clientes afectados en ambos casos fueron reembolsados ya sea por Tabcorp o por sus respectivos bancos. La secuencia de incidentes de seguridad subrayó los riesgos operativos planteados por la adopción tardía del MFA, un estándar reconocido en los sectores de pagos y casino como un mecanismo básico de protección al cliente.

Estándares del VGCCC para el Cumplimiento de la Autenticación Multifactor

Los estándares de cumplimiento impuestos por la Comisión de Control del Juego y Casino de Victoria requieren una estricta adherencia a las salvaguardas técnicas contra el acceso no autorizado. La VGCCC declaró que Tabcorp no cumplió con cuatro estándares técnicos específicos relacionados con el MFA, dejando su sistema de apuestas y juegos expuesto. La Comisión reiteró que los titulares de licencias deben tanto implementar completamente las salvaguardas dentro de los plazos establecidos como mantenerlas de manera continua.

Chris O’Neill comentó más:

“Esta multa refuerza a todos los proveedores de juegos que deben implementar y mantener completamente esas protecciones.”

Contexto Regulatorio y Obligaciones Continuas de los Operadores

La multa más reciente de Tabcorp sigue un patrón de ejecución por parte de la VGCCC por incumplimientos de regulación. La penalización de A$350,000 es la más reciente en una serie de multas significativas: la multa de A$4.6 millones en 2024 por violaciones del código de juego responsable sigue siendo la más grande. Las acciones del regulador son consistentes con su política declarada de exigir la rápida remediación de deficiencias y la plena responsabilidad por lapsos en la protección del cliente.

La participación de Tabcorp con la VGCCC incluyó una comunicación continua sobre su progreso en la implementación y solicitudes de dispensaciones de plazos—ninguna de las cuales eximió a la compañía de la responsabilidad regulatoria.

Se espera que los operadores en Victoria mantengan el ritmo con los estándares de seguridad y actúen rápidamente sobre cualquier riesgo identificado. La posición de la VGCCC es clara: el incumplimiento de los requisitos técnicos y de protección al cliente resultará en acciones ejecutivas para proteger tanto a los clientes como a la reputación del sector de juegos regulados de Victoria.