Мальтийский регулятор азартных игр подтвердил взлом своей системы

Кто взял на себя ответственность за взлом

По данным отраслевых изданий, ответственность за кибератаку публично взяла на себя Лилит Виттманн (Lilith Wittmann), которая позиционирует себя как исследовательницу кибербезопасности. Она заявила, что полученные данные уже переданы СМИ и властям. Управление по азартным играм Мальты не подтвердило ни личность нарушителя, ни содержание этих заявлений.

Регулятор осудил любой несанкционированный доступ к своим системам, а также извлечение, обработку и распространение данных, полученных таким путем. Прозвучавшие со стороны Лилит Виттманн обвинения MGA назвал неподтвержденными и заявил, что они не подрывают его статус.

Широкую известность Лилит Виттманн получила после истории с уязвимостью в приложении CDU Connect в 2021 году. Она сообщила о проблеме, после чего разгорелся скандал: против нее подали заявление, а затем его отозвали на фоне общественной реакции. После этого у нее были и другие заметные расследования: уязвимости в Luca app, исследование телеком- и административных систем в немецких тюрьмах, которое она представляла на 38C3. В марте 2025 года она опубликовала материал об уязвимостях в онлайн-казино Merkur.

Что остается неизвестным

На момент публикации остается открытым целый ряд ключевых вопросов:

• Какая именно система была скомпрометирована.
• Как долго злоумышленница имела доступ к данным.
• Были ли затронуты персональные данные игроков, корпоративные документы лицензиатов, комплаенс-материалы, сведения о бенефициарах или финансовая отчетность.
• Подтвержден ли факт копирования или вывода данных.
• Направлены ли индивидуальные уведомления лицензиатам и субъектам данных.

Публичных заявлений по этому инциденту Управление комиссара по информации и защите данных (IDPC) пока не делало.

Почему это важно для рынка азартных игр

MGA — это один из самых известных игорных регуляторов в мире. Многие россияне играют именно в международных онлайн-казино с лицензией MGA, потому что считают такие площадки более надежными, чем малоизвестные сайты без понятного регулирования. Поэтому, если взламывают систему такой организации, удар приходится не только по регулятору, но и по всем казино, которые работают по мальтийской лицензии.

При этом случай с MGA нельзя назвать совсем беспрецедентным. В 2025 году на Филиппинах PAGCOR пришлось объясняться из-за утечки базы данных о лицах, которым запрещен доступ к азартным играм. Регулятор утверждал, что данные, вероятно, утекли через одного из лицензиатов, а не с его сайта. В Швеции в том же году тоже возник скандал вокруг реестра самоисключения Spelpaus, но местный регулятор Spelinspektionen заявил, что не нашел подтверждений утечки.

На этом фоне история с MGA выглядит особенно чувствительной: даже сам факт несанкционированного доступа к системе одного из ключевых мировых регуляторов подрывает доверие к юрисдикции и к операторам, работающим под ее лицензией.