Joulukuussa 2022 yhdysvaltalainen vedonlyöntiyhtiö DraftKings ilmoitti, että marraskuussa 67 995 asiakkaan tilille oli kirjauduttu luvatta. Yhtiön mukaan hyökkääjät eivät murtautuneet sen järjestelmiin, vaan he kokeilivat tunnuspareja, jotka oli varastettu aiemmin muista palveluista. Noin 1 600 tililtä vietiin yhteensä noin 635 000 dollaria, ja yksi tekijöistä sai huhtikuussa 2026 Yhdysvalloissa 30 kuukauden vankeustuomion.
Tapaus jakaa vastuun kahtia. Kasino päättää, mitä se tallentaa, miten se salaa tiedot ja kuka sen järjestelmiin pääsee, mutta salasanan valitsee pelaaja. Rahapelitilillä on myös enemmän suojattavaa kuin tavallisella verkkokauppatilillä, koska laki velvoittaa kasinon tunnistamaan asiakkaansa ja säilyttämään tiedot vuosien ajan.
Rahanpesulaki velvoittaa kasinon säilyttämään tunnistustiedot vuosia
Suomen rahanpesulaki (444/2017) näyttää hyvin, millaisia tietoja rahapelien tarjoajalla on hallussaan. Lain mukaan asiakas on tunnistettava ja hänen henkilöllisyytensä todennettava jo vakituista asiakassuhdetta, kuten pelitiliä, perustettaessa, eikä anonyymeja tilejä saa olla. Satunnaisessa pelaamisessa sama velvoite syntyy, kun panos tai voitto on vähintään 2 000 euroa yhtenä suorituksena tai toisiinsa kytkeytyvinä suorituksina. Asiakkaan tuntemistiedot on säilytettävä luotettavalla tavalla viisi vuotta vakituisen asiakassuhteen päättymisestä.
Muissa EU-maissa vastaavat velvoitteet perustuvat samaan EU:n rahanpesusääntelyyn, vaikka kynnysarvot ja yksityiskohdat vaihtelevat maittain. Tietojen kirjo on siksi käytännössä samankaltainen: nimi, syntymäaika, osoite, henkilöllisyystodistuksen kopio, maksutapa ja tilin tapahtumat. Kun tiedot säilyvät vielä vuosia tilin sulkemisen jälkeen, tietokantaan kertyy laaja ja pitkäikäinen kuva ihmisestä.
Tietoturvan kannalta jokainen kerätty tieto voi myös vuotaa. GDPR:n 5 artikla edellyttää, että henkilötiedot rajataan siihen, mikä on tarpeen käsittelyn tarkoitukseen nähden. Rahanpesulaki asettaa alarajan sille, mitä kasinon on kerättävä, mutta se ei anna lupaa kerätä mitä tahansa muuta.
Kroatian tietosuojaviranomainen AZOP kertoi 2.10.2026 päätöksestä, joka näyttää, mitä tarpeettomien tietojen kerääminen voi maksaa. Nimeämätön rahapelien järjestäjä sai 2 590 000 euron sakon. Sen kasinolla pelaajat tunnistettiin henkilökortista, mutta yhtiö oli lisäksi ottanut käyttöön tunnistuksen RFID-sirulla tai sormenjäljillä, jotta pelaaja pääsisi halutessaan seuraavilla käynneillä nopeammin sisään. Biometristen tietojen käsittelyyn oli kirjattu suostumus 34 933 pelaajalta.
Yhtiö väitti tallentavansa kaksi sormenjälkeä, mutta todellisuudessa se otti neljä, kaksi kummastakin kädestä. Ylimääräisiä jälkiä se perusteli ihovaurioiden varalla, mutta niiden tarpeellisuutta se ei pystynyt osoittamaan. AZOP katsoi rikotuksi muun muassa 9 artiklaa, joka koskee erityisiä henkilötietoryhmiä, kuten tunnistamiseen käytettäviä biometrisiä tietoja, sekä 5 artiklan periaatteita.
Myös suostumukset olivat puutteellisia. Kun pelaaja rekisteröityi kasinolle, ruudulla oli neljä suostumuskohtaa, ja niistä kaksi ensimmäistä, sormenjälkiä ja valokuvaa koskevat, niputtivat yhteen useita käyttötarkoituksia. Pelaaja ei voinut hyväksyä niitä erikseen, eikä tekstistä erottanut lakisääteistä henkilöllisyyden tarkistusta vapaaehtoisesta sormenjälkitunnistuksesta. Biometriikka on vuotona pahempi kuin salasana: vuotaneen salasanan voi vaihtaa, sormenjälkeä ei.
Tietomurto alkaa useammin huolimattomasta ylläpidosta kuin murretusta salauksesta
Asiallisesti ylläpidetyllä kasinolla selaimen ja palvelimen välinen liikenne kulkee TLS-salattuna, jolloin ulkopuolinen ei pysty lukemaan tietoja matkalla. Vaikeampi kysymys on levossa oleva tieto: tietokannat, skannatut henkilöpaperit ja varmuuskopiot. GDPR:n 32 artikla mainitsee pseudonymisoinnin ja salauksen esimerkkeinä asianmukaisista teknisistä toimista. Salaus ei kuitenkaan auta, jos hyökkääjä pääsee sisään työntekijän tunnuksilla, sillä järjestelmä näyttää tiedot selväkielisinä jokaiselle, jolla on käyttöoikeus.
Miltä tällaiset puutteet näyttävät käytännössä, selviää AZOP:n heinäkuussa 2025 julkistamasta päätöksestä. Vedonlyöntiyhtiö Favorit Sportska Kladionica sai 175 000 euron sakon. Asia tuli vireille valituksesta: yhtiö oli pyytänyt käyttäjiä lähettämään henkilökorttinsa kopion sähköpostilla tilin vahvistamista varten. Verkkoasiakkaita oli 70 259, ja heistä oli tallennettu nimi, syntymäaika, henkilötunnus, henkilökortin numero ja osoite sekä ensimmäisen voitonmaksun yhteydessä kopio henkilökortista.
Tarkastuksen löydökset koskivat ylläpidon perusasioita. Osa henkilöstön salasanoista oli vain kolmen merkin mittaisia. Tiettyjen työntekijöiden koneilta pääsi sähköpostilaatikkoon, jossa oli henkilötietoja ja henkilökorttien kopioita, ja vedonlyöntialustan hallintaosaa käytettiin salaamattoman HTTP-yhteyden kautta. Tietoja ei poistettu säilytysajan päätyttyä, eikä yhtiö tehnyt varmuuskopioita lainkaan, koska se piti niitä liian kalliina.
Kun puutteet kääntää toisin päin, syntyy kuva huolellisesta ylläpidosta: henkilöstöllä on pitkät salasanat ja kaksivaiheinen tunnistautuminen, ylläpitoon on pääsy vain salatun yhteyden kautta rajatuista verkoista, ja henkilöpaperit säilytetään erikseen salattuina ja poistetaan säilytysajan jälkeen.
Pelaaja ei näe kasinon palvelinsalia, mutta muutaman merkin hän näkee itse. Jos kasino pyytää lähettämään passin kuvan tavallisen sähköpostin liitteenä, henkilöpaperit voivat päätyä juuri sellaiseen postilaatikkoon, jollaisen Favoritin tarkastus löysi. Asiallinen palvelu pyytää lataamaan asiakirjat omalla lomakkeellaan sen jälkeen, kun pelaaja on kirjautunut tililleen salatun yhteyden kautta.
Pankkitunnistautuminen pitää pankkitunnukset kasinon ulottumattomissa
Monella EU-kasinolla rekisteröityminen ja talletus hoidetaan samalla pankkitunnistautumisella. Suomen maksupalvelulaki (290/2010), joka toteuttaa EU:n maksupalveludirektiivin vaatimukset, velvoittaa maksutoimeksiantopalvelun tarjoajan huolehtimaan siitä, että käyttäjän henkilökohtaiset turvatunnukset ovat vain käyttäjän ja tunnukset myöntäneen pankin saatavilla. Palveluntarjoaja ei myöskään saa tallentaa käyttäjän arkaluonteisia maksutietoja.
Käytännössä pelaaja tunnistautuu oman pankkinsa sovelluksessa tai tunnistussivulla, eikä kasino näe tunnuksia lainkaan. Lain mukaan maksunsaajalle eli kasinolle saa välittää käyttäjän muita tietoja vain siltä osin kuin käyttäjä on nimenomaisesti suostunut siihen. Kasinon tietomurrossa pankkitunnukset eivät siis ole vaarassa, koska ne eivät koskaan päätyneet kasinon järjestelmiin.
Tämä ei tee tilistä haavoittumatonta, sillä henkilöllisyystiedot ja tilinumero ovat edelleen kasinon hallussa. Rahan kannalta herkin kohta on voitonmaksun kohdetili. DraftKings-tapauksessa hyökkääjät lisäsivät tileille uuden maksutavan ja tekivät viiden dollarin vahvistustalletuksen, ennen kuin he nostivat rahat.
Hyvin rakennettu järjestelmä vaatii siksi vahvan tunnistautumisen juuri silloin, kun voitonmaksun kohdetili vaihtuu, ja ilmoittaa muutoksesta pelaajalle erikseen. Pankkitunnistautumiseen perustuvassa tilissä tämä on luontevaa, koska maksutili on sidottu samaan henkilöön, joka tunnistautui. Salasanalla suojatussa tilissä pelkkä kirjautuminen voi sen sijaan riittää uuden maksutavan lisäämiseen.
Maltan lisenssi sitoo kasinon EU:n tietosuoja-asetukseen
Kasinon asiakastietojen käsittelyä valvoo ensisijaisesti tietosuojaviranomainen, ei peliviranomainen. Malta Gaming Authority myöntää lisenssin vain Euroopan talousalueelle sijoittautuneelle yhtiölle, ja tavallisesti lisenssiä varten perustetaan maltalainen yhtiö. Tällöin GDPR sitoo kasinoa suoraan, ja sen tietojenkäsittelyä valvoo Maltan tietosuojavaltuutettu IDPC (Information and Data Protection Commissioner), joka kuvaa itseään GDPR:n ja Maltan tietosuojalain noudattamista valvovaksi kansalliseksi viranomaiseksi.
Pelaajan kannattaa siksi selvittää, kenen lisenssillä kasino toimii, ennen kuin hän lähettää sille henkilöpapereitaan. Ulkomaisetnettikasinot.com-sivuston luetteloon Mga Kasinot on kerätty kasinoita, joille Malta Gaming Authority on myöntänyt lisenssin, joten tähän joukkoon kuuluvia nimiä voi tarkastella yhdeltä sivulta. Luettelosta selviää lisenssin myöntäjä, mutta ei se, miten yksittäinen kasino käsittelee asiakastietoja. Sen kertoo vasta kasinon oma tietosuojaseloste.
Selosteen sisältö ei ole vapaaehtoinen. GDPR:n 13 artiklan mukaan rekisterinpitäjän on kerrottava tietoja kerätessään nimensä ja yhteystietonsa, mahdollisen tietosuojavastaavan yhteystiedot sekä käsittelyn tarkoitukset ja oikeusperusteen. Samalla on kerrottava oikeudesta tehdä valitus valvontaviranomaiselle. Suomalaisen pelaajan ei tarvitse kääntyä IDPC:n puoleen, sillä 77 artiklan mukaan valituksen voi tehdä myös asuinmaan viranomaiselle, Suomessa tietosuojavaltuutetun toimistolle.
Toisin on, jos kasinon lisenssi ja yhtiö ovat EU:n ja ETA:n ulkopuolella. Paperilla GDPR koskee sitäkin, sillä 3 artiklan 2 kohdan mukaan asetusta sovelletaan myös unionin ulkopuoliseen rekisterinpitäjään, joka tarjoaa palveluja unionissa oleville ihmisille. Tällaisen yhtiön on lisäksi 27 artiklan mukaan nimettävä edustaja EU:n alueelle. Käytännössä valvonta on usein vaikeampaa, koska EU:ssa ei ole toimipaikkaa, johon viranomainen voisi kohdistaa tarkastuksen tai sakon.
Suomessa asetelma muuttuu 1.7.2027, kun uuden rahapelilain (10/2026) pääosa tulee voimaan. Toimilupia koskeva 2 luku ja eräät muut säännökset tulivat voimaan jo 1.3.2026, ja valvontaviranomaiseksi laissa on nimetty Lupa- ja valvontavirasto. Heinäkuusta 2027 alkaen toimiluvan haltijan on säilytettävä pelitapahtumia ja pelitilitapahtumia koskevat tiedot vähintään viisi vuotta, varmistettava niiden muuttumattomuus ja käytettävä siihen viranomaisen määrittämää varmennetta.
Tietomurrosta on ilmoitettava viranomaiselle pääsääntöisesti 72 tunnin kuluessa
Kun vuoto on tapahtunut, GDPR:n 33 artikla määrää aikataulun. Rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun se sai asiasta tiedon, ellei loukkauksesta todennäköisesti aiheudu riskiä ihmisten oikeuksille ja vapauksille. Jos ilmoitus myöhästyy, siihen on liitettävä selvitys viivästyksen syistä.
Ilmoituksessa on kuvattava loukkauksen luonne, rekisteröityjen ja tietueiden ryhmät ja arvioidut määrät, tietosuojavastaavan tai muun yhteyshenkilön yhteystiedot, todennäköiset seuraukset sekä toimet, joihin yhtiö on ryhtynyt tai aikoo ryhtyä.
Asiakkaille on kerrottava 34 artiklan mukaan erikseen silloin, kun vuoto aiheuttaa todennäköisesti korkean riskin heidän oikeuksilleen. Tässä kohdassa levossa olevan tiedon salaus hyödyttää yhtiötä suoraan: saman artiklan 3 kohdan mukaan asiakkaille ei tarvitse ilmoittaa, jos vuotaneet tiedot on suojattu esimerkiksi salauksella niin, ettei kukaan ilman käyttöoikeutta pysty lukemaan niitä.
Heinäkuussa 2025 Flutter Entertainment kertoi, että ulkopuolinen taho oli päässyt käsiksi sen Paddy Power- ja Betfair-brändien asiakastietoihin. Vuoto koski enintään 800 000 asiakasta Isossa-Britanniassa ja Irlannissa. Vuotaneita tietoja olivat käyttäjätunnukset, sähköpostiosoitteet, IP-osoitteet ja laitetunnisteet sekä osalla asiakkaista nimet ja osoitteiden osia. Yhtiön mukaan salasanoja, henkilöpapereita tai käyttökelpoisia kortti- ja maksutietoja ei vuotanut.
Flutter ilmoitti asiasta Irlannin tietosuojaviranomaiselle DPC:lle ja Britannian ICO:lle, otti yhteyttä asiakkaisiin ja kehotti heitä pysymään valppaina. Tietoturva-asiantuntijat varoittivat, että tällainen aineisto on raaka-ainetta kohdennetulle tietojenkalastelulle. Kun huijari tietää vastaanottajan käyttäjätunnuksen ja sen, millä sivustolla hän pelaa, viesti voi näyttää aidolta, vaikka salasanat säästyivät.
Uhrin kannalta ratkaisevaa on, mitä vuodossa meni. Traficomin neuvot identiteettivarkauden tai tietovuodon uhrille käyvät läpi toimet tilanteeseen, jossa henkilötiedot ovat päätyneet vääriin käsiin: heti yhteys pankkiin, jos rikollinen on päässyt verkkopankkiin tai saanut korttitiedot, rikosilmoitus verkossa ja tarvittaessa vapaaehtoinen luottokielto. Jos rikollisilla on passi, henkilökortti tai kuva niistä, ohje neuvoo tekemään poliisille katoamisilmoituksen.
Rahapelitilin kohdalla katoamisilmoitus on aiheellinen, koska henkilöpaperin kopio on juuri se tieto, jonka kasinot rahanpesusääntöjen takia keräävät. Favoritin tapaus osoitti, että kopio voi jäädä yhtiön hallintaan vielä säilytysajan päätyttyäkin, joten yhtiön ilmoituksesta kannattaa tarkistaa, mainitaanko vuotaneissa tiedoissa henkilöllisyystodistus.
Pelaajan tärkein suoja on salasana, jota ei käytetä missään muualla
DraftKingsin tilit avattiin tunnistetietojen täytöllä (credential stuffing). Hyökkääjä syöttää automaattisesti muista vuodoista kerättyjä sähköposti- ja salasanapareja, ja tili aukeaa aina, kun sen omistaja on käyttänyt samaa paria jossakin vuotaneessa palvelussa. Kasino voi hidastaa yrityksiä ja tunnistaa epätavallisia kirjautumisia, mutta oikealla salasanalla tehtyä kirjautumista se ei aina pysty erottamaan omistajan kirjautumisesta.
Tehokkain vastalääke on oma salasana jokaiseen palveluun. Virustorjunta.io:n ohje F-Securen salasanageneraattorin käyttöön suosittelee vähintään 16 merkin salasanaa ja mieluiten 20-32 merkkiä. Generaattori luo salasanat paikallisesti selaimessa, eikä F-Secure tallenna tai lähetä niitä. Salasanat kuuluvat hallintaohjelmaan, joka säilyttää ne salattuina ja täyttää ne kirjautumiskenttiin, mutta ei yleensä sivulle, jonka osoite poikkeaa tallennetusta.
Toinen suojakerros on kaksivaiheinen tunnistautuminen. Kun kasino tarjoaa sen ja pelaaja ottaa sen käyttöön, pelkkä salasana ei enää riitä kirjautumiseen. Traficom neuvoo pitämään ensisijaisen tunnistustavan rinnalla myös toisen vaihtoehdon siltä varalta, ettei puhelimen sovellus ole käytettävissä esimerkiksi laitteen hajottua. Jaetulla koneella istunnosta kannattaa kirjautua ulos itse eikä odottaa automaattista aikakatkaisua.
Vuodon jälkeen vaarallisin viesti näyttää tulevan kasinon asiakastuelta. Se voi pyytää vahvistamaan tilin, kertoa jäädytetystä voitonmaksusta tai tarjota apua etäyhteyden kautta. Traficomin mukaan huijauksen merkki on se, että tekniseksi tueksi esittäytyvä henkilö pyytää käyttäjätunnusta, salasanaa tai etäyhteyttä.
Palveluun kannattaa siksi mennä kirjoittamalla osoite itse selaimeen eikä viestin linkistä. Viesti, joka pyytää verkkopankin tunnuksia kasinon nimissä, on aina huijaus, koska kasino ei tarvitse niitä missään vaiheessa.
Salaus ja kaksivaiheinen tunnistautuminen suojaavat saldoa ulkopuolisilta, eivät pelaajaa talon edulta, joka on laskettu jokaiseen kasinopeliin etukäteen. Sama henkilöllisyyden todentaminen, joka kartuttaa kasinon tietokantaa, on myös keino pitää alaikäiset poissa, sillä pelaajan on oltava täyttänyt 18 vuotta. Peluurin palvelut ovat pelaajille ja heidän läheisilleen maksuttomia, ja niitä voi käyttää nimettömänä: puhelin 0800 100 101, verkossa peluuri.fi. Pelirajattoman (pelirajaton.fi) chateissa ja ryhmissä pelaajat ja läheiset keskustelevat vertaisohjaajien ja toistensa kanssa.
Rahapelialan tietokannat pysyvät houkuttelevina kohteina niin kauan kuin samassa paikassa säilytetään sekä henkilöllisyys että rahaliikenne. Vuotojen määrään pelaaja ei voi vaikuttaa, mutta sen hän voi ratkaista, avaako hänen vuotanut salasanansa yhden tilin vai kymmenen.
