第三部分：博彩機出千 · Electronic & Digital Cheating Methods · #6.27

物聯網設備跳板攻擊（IoT Device Pivot Attack）

運作方式

娛樂場日益部署物聯網（IoT）設備，如智能恆溫器、聯網照明、數碼標牌、環境感應器及智能魚缸，且往往與關鍵博彩系統處於同一網絡。攻擊者利用這些往往保安薄弱的物聯網設備的漏洞取得初步立足點，然後在網絡中橫向「跳板」轉移，直達博彩系統。在2017年的著名事故中，黑客透過一個連接互聯網的魚缸溫度計入侵北美一家娛樂場的網絡，最終竊取了10 GB的貴賓客戶數據。針對博彩系統的類似攻擊，有可能觸及角子機、CMS伺服器或累積獎池控制器。物聯網設備往往設有薄弱的預設密碼、未修補的韌體且無加密，使其成為理想的入侵切入點。

出現位置

任何物聯網設備與博彩系統共用基礎設施的娛樂場網絡；潛在目標包括CMS、角子機、玩家數據庫、累積獎池控制器及財務系統

有案可查

2017年，Darktrace報道北美一宗娛樂場被入侵事件，起點是一個連接互聯網的魚缸溫度計。該水族箱的感應器連接至一部電腦以調節溫度、鹽度及餵食。黑客以此為切入點，在網絡內橫向移動，並將10 GB數據外傳至芬蘭的一台設備。該攻擊針對非常規設備，因而避過了傳統保安工具。

本內容作為偵測參考，供監控、合規及博彩營運專業人員使用。門檻及設定由各娛樂場自行釐定。本文並非教學指引：記述手法僅為便於識別。