Tabcorp sancionada con A$350.000 por fallas en autenticación multifactor en Victoria

La Comisión de Control de Casinos y Juegos de Victoria (VGCCC) impuso una multa de A$350.000 a Tabcorp Holdings Limited por incumplir con la implementación obligatoria de controles de autenticación multifactor (MFA) en las cuentas de sus clientes durante el periodo comprendido entre enero y junio de 2025. El regulador determinó que la ausencia de MFA dejó vulnerable el sistema de apuestas y apuestas deportivas del operador en el estado de Victoria.

Detalles de la sanción a Tabcorp por fallas en MFA

El procedimiento sancionador se basa en la constatación de que Tabcorp incumplió cuatro estándares técnicos sobre MFA exigidos por la VGCCC. En julio de 2024, Tabcorp comunicó al regulador que no podría cumplir los requisitos antes del inicio de su nueva licencia, fechado el 14 de agosto de ese año. Como resultado, la VGCCC le concedió una prórroga hasta el 29 de enero de 2025 para la implementación completa.

El 24 de enero de 2025, Tabcorp notificó a la VGCCC haber "identificado problemas significativos" durante las pruebas beta relacionadas con la MFA y solicitó una extensión adicional, que fue denegada por la autoridad. El operador informó el 24 de junio del mismo año que finalmente había implementado los controles de autenticación requeridos, por lo que la VGCCC consideró que existió un incumplimiento durante un periodo de seis meses.

Impacto operativo y seguridad de cliente

Durante el lapso sin MFA obligatoria, Tabcorp reportó el acceso no autorizado a al menos 195 cuentas de clientes, con pérdidas registradas por un total de A$308.098,91 según lo comunicado por Tabcorp el 20 de enero de 2025. Entre enero y junio de 2025, catorce clientes se vieron afectados por este tipo de incidentes.

En mayo de 2025, la empresa también notificó a la autoridad reguladora sobre un ataque automatizado a través de bots, en el que hackers intentaron acceder a cuentas inactivas—sin MFA activa—con credenciales provenientes "probablemente de la dark web". De esta brecha de seguridad, surgió un robo adicional de aproximadamente A$13.471.

Tabcorp afirmó que todos los clientes impactados en ambos incidentes recibieron compensación mediante reembolso ya sea de parte de la empresa o de los bancos correspondientes.

Cumplimiento tardío y evolución de MFA

Según la información aportada a la VGCCC, Tabcorp mantuvo una comunicación constante con la Comisión sobre el avance de la adopción de MFA, solicitando exenciones específicas para plazos concretos y reportando haber alcanzado un 99% de adopción del MFA por parte de los clientes a 1 de abril de 2025.

El presidente de la VGCCC, Chris O’Neill, declaró:

“Esperamos sistemas sólidos para prevenir incumplimientos y proteger a los clientes. Cuando ocurren, los licenciatarios deben identificarlos y resolverlos rápidamente, además de abordar la causa raíz.”

“Los requisitos de protección al cliente son esenciales para salvaguardar a los usuarios en Victoria y mantener la confianza en los productos y servicios de apuestas regulados. Esta sanción refuerza que todos los proveedores deben implementar y mantener plenamente estas medidas.”

Historial sancionatorio y exigencias regulatorias en Victoria

Esta sanción de A$350.000 impuesta a Tabcorp se suma a precedentes recientes: en septiembre de 2023 la VGCCC impuso a Tabcorp una multa de A$1 millón por infracciones previas, y en 2024 aplicó una sanción mayor de A$4,6 millones debido a “incumplimientos reiterados” del código de conducta para el juego responsable en el estado australiano. Este historial refleja la postura estricta de la VGCCC frente a las obligaciones técnicas y de protección del cliente que deben observar los operadores con licencia en Victoria.

El caso Tabcorp resalta la importancia creciente de los controles de autenticación avanzada en las plataformas de juego y apuestas, así como la vigilancia activa de las autoridades regulatorias para garantizar la protección de los usuarios y la integridad del sector. Más información sobre procesos regulatorios y sanciones se encuentra disponible en la sección de regulación.