Pinagmulta ang Tabcorp VIC Pty Ltd ng A$350,000 matapos hindi ganap na ipatupad ang mandatory multi-factor authentication controls para sa mga customer wagering account sa Victoria.
Ang mga paglabag ay naganap sa pagitan ng Enero 30 at Hunyo 23, 2025, kung kailan maaaring patuloy na ma-access ng ilang mga customer ang mga serbisyo ng Tabcorp nang walang kinakailangang karagdagang hakbang sa pag-authenticate. Sa panahong iyon, ang mga hindi awtorisadong partido ay nakakuha ng access sa ilang mga wagering account at nag-withdraw ng mga pondo.
Kalaunan ay natapos ng Tabcorp ang paglulunsad ng mandatory multi-factor authentication noong Hunyo 2025 sa pamamagitan ng pag-aatas sa mga natitirang customer na mag-upgrade sa isang bersyon ng TAB app na sumusuporta sa hakbang sa seguridad. Ang mga customer na naapektuhan ng mga hindi awtorisadong pag-withdraw ay nakatanggap kalaunan ng mga reimbursement mula sa Tabcorp o sa kanilang mga institusyong pinansyal.
Apat na Pamantayang Teknikal ang Natuklasan ng Regulator na Nilabag
Ayon sa Victorian Gambling and Casino Control Commission ( VGCCC ), nilabag ng Tabcorp ang apat na Pamantayan sa Teknikal ng Pagtaya at Pagtaya dahil sa hindi ganap na pagpapatupad ng multi-factor authentication sa loob ng kinakailangang takdang panahon.
Ang multi-factor authentication ay nangangailangan ng mga user na magbigay ng higit sa isang uri ng beripikasyon bago ma-access ang isang account. Ipinakilala ng Tabcorp ang functionality noong Marso 2025, bagama't maaari pa ring mag-log in ang mga customer na gumagamit ng mga mas lumang bersyon ng app nito nang hindi kinukumpleto ang karagdagang proseso ng authentication.
Pagsapit ng Abril 1, humigit-kumulang 99% ng mga customer ang nagpatupad ng MFA. Ang ganap na pagpapatupad ay hindi nagkabisa hanggang Hunyo 24, nang hilingin ng Tabcorp sa mga natitirang user na i-update ang kanilang TAB app.
Ang hindi kumpletong paglulunsad ay nagdulot ng pagkalantad sa ilang account. Isang bot attack na iniulat noong Mayo 2025 ang tumatarget sa mga hindi aktibong account na gumagamit ng mga login credential na ayon sa Tabcorp ay malamang na nakuha mula sa dark web.
Humigit-kumulang A$31,000 ang na-withdraw mula sa mga account sa buong Australia noong insidenteng iyon, kabilang ang A$13,471 mula sa mga account na pagmamay-ari ng mga customer sa Victoria.
Natukoy din sa desisyon ng regulator ang hindi awtorisadong pag-access na nakakaapekto sa hindi bababa sa 195 account ng customer, na may kabuuang A$308,098.91 na mga withdrawal. Labing-apat na customer ang naapektuhan sa panahong sakop ng mga paglabag sa regulasyon, habang ang iba pang mga insidente ay naganap noong ang Tabcorp ay nag-ooperate sa ilalim ng mga aprubadong dispensasyon.
"Inaasahan namin ang matibay na sistema upang maiwasan ang mga paglabag at protektahan ang mga customer. Kung may mangyari mang paglabag, inaasahan namin na mabilis na matukoy at malutas ng mga may lisensya ang mga ito at matugunan ang pinagbabatayan nitong sanhi," sabi ng Tagapangulo ng VGCCC na si Chris O'Neill APM.
Nakatanggap ang Tabcorp ng mga Nakaraang Ekstensyon ng MFA
Dati nang binigyan ng regulator ang Tabcorp ng karagdagang oras upang ipatupad ang mga kinakailangang hakbang sa seguridad.
Ilang palugit ang ipinagkaloob bago matapos ang huling dispensasyon noong Enero 29, 2025. Kalaunan ay humingi ng isa pang palugit ang Tabcorp noong Pebrero, ngunit tinanggihan ng regulator ang kahilingang iyon.
Bilang tugon sa aksyong pandisiplina, ikinatuwiran ng Tabcorp na natugunan ng mga alternatibong kontrol sa seguridad ang mga kaugnay na pamantayan at pinanindigan na natapos ang anumang paglabag sa sandaling naging available ang MFA noong Marso.
Itinuro rin ng kumpanya ang mga teknikal na problema na nauugnay sa pagpapakilala ng sistema.
Tinanggihan ng komisyon ang interpretasyon ng Tabcorp, na inilarawan ito bilang isang "napakakitid at teknikal na interpretasyon" ng mga kinakailangan nito sa regulasyon. Napagpasyahan nito na ang pagsunod ay nangangailangan ng mandatoryong pagpapatupad ng MFA sa halip na basta gawing available ang tampok na ito.
Nang tukuyin ang parusa, isinaalang-alang ng regulator ang mga teknikal na problema ng Tabcorp at ang mga mapagkukunang ipinagkatiwala nito sa pagpapatupad ng MFA. Isinaalang-alang din nito ang reimbursement ng mga apektadong customer.
Inilagay ng komisyon ang mga paglabag sa mas mababang dulo ng iskala ng kalubhaan at walang nakitang sadyang pagwawalang-bahala sa mga obligasyon sa regulasyon ng Tabcorp.
Gayunpaman, ang dating rekord ng pagsunod ng Tabcorp ay nakadagdag sa laki ng multa.
"Ang mga kinakailangan sa proteksyon ng customer ay kinakailangan upang pangalagaan ang mga customer sa Victoria at mapanatili ang tiwala sa mga regulated na produkto at serbisyo sa pagtaya. Ang parusang ito ay nagpapatibay sa lahat ng provider ng pagsusugal na dapat nilang ganap na ipatupad at panatilihin ang mga proteksyong iyon," sabi ni O'Neill.
Mga Nakaraang Pagkabigo sa Pagsunod Idinagdag sa Rekord ng Regulasyon
Ang pinakahuling parusa ay kasunod ng naunang aksyong pagpapatupad laban sa Tabcorp sa Victoria.
Noong 2024, nagpataw ang regulator ng multang A$4.6 milyon dahil sa mga responsableng pagkabigo sa pagsusugal na kinasasangkutan ng dating lisensyado ng grupo sa Victoria. Kabilang sa mga paglabag na iyon ang mga pagkukulang sa pagsasanay ng mga kawani at mga pagkabigo na kinasasangkutan ng suporta para sa isang customer na nagpapakita ng mga senyales ng pinsala sa pagsusugal.
Inatasan din ng regulator ang Tabcorp na magsagawa ng mas malawak na programa ng transpormasyon na naglalayong palakasin ang mga operasyon nito sa pagsunod sa mga regulasyon.
Naharap din ang Tabcorp sa aksyong pangregulasyon sa ibang lugar sa Australia. Noong Hulyo 2026, nagbayad ang kumpanya ng mahigit A$2.7 milyon na multa matapos matukoy ng Australian Communications and Media Authority ang mga paglabag sa mga patakaran ng spam at telemarketing .
Ang pinakabagong kaso sa Victoria ay partikular na nakatuon sa seguridad ng account at sa kinakailangan para sa mga operator ng pagtaya na mapanatili ang mga pananggalang na sumasaklaw sa pag-access ng customer.
Sinabi ng Tabcorp sa regulator na natapos na nito ang paglulunsad ng MFA noong Hunyo 2025. Dahil mandatory na ang sistema para sa mga apektadong gumagamit ng TAB app, tinutugunan ng aksyong pagpapatupad ang panahon kung kailan hindi pa nailalapat ng kumpanya ang proteksyon sa buong base ng customer nito.
