Attacco informatico all’MGA: cosa sappiamo finora
Le prime pagine hanno iniziato a circolare sostenendo che la Malta Gaming Authority (MGA) fosse stata “hackerata”, alimentando timori nel settore dell’iGaming che dati regolatori o dei giocatori potessero essere finiti in circolazione. I fatti alla base della vicenda sono però più sfumati: la MGA ha confermato ufficialmente una violazione in uno dei suoi sistemi e l’attivazione dei protocolli interni di risposta, ma afferma che i database regolatori principali restano sicuri e che, al momento, non ci sono prove di esfiltrazione di dati personali o relativi ai licenziatari.
Secondo la dichiarazione dell’Autorità del 17 marzo, l’incidente ha riguardato una violazione “all’interno di uno dei suoi sistemi”, ha attivato una risposta immediata di contenimento ed è trattato “con la massima serietà” in coordinamento con i team tecnici e le autorità competenti. In una dichiarazione successiva del 20 marzo 2026, la MGA ha ribadito la propria condanna verso qualsiasi accesso, estrazione o diffusione non autorizzata di dati ottenuti tramite tali attività, respingendo inoltre le accuse pubbliche collegate all’incidente.
La MGA è stata hackerata?
Dal punto di vista tecnico e comunicativo, la risposta è sì: la MGA ha riconosciuto un accesso non autorizzato a una parte del suo ambiente IT. Tuttavia, ciò non equivale a una compromissione completa dei database relativi alle licenze o ai giocatori. I report del settore che citano le comunicazioni dell’Autorità sottolineano che l’ambiente coinvolto riguarda piattaforme interne amministrative e di comunicazione, senza alcuna indicazione, al momento, che i repository regolatori principali siano stati raggiunti o che dati personali o finanziari sensibili siano stati sottratti.
L’incidente è stato rilevato tramite attività di monitoraggio e ha portato all’attivazione dei protocolli di risposta agli incidenti già stabiliti, che includono contenimento, indagini forensi e il coinvolgimento di specialisti esterni in cybersicurezza. Per ora, le principali incognite riguardano esattamente quali sistemi siano stati toccati, quali dati fossero visibili durante la finestra di intrusione e se qualcuno di essi sia stato copiato o condiviso.
La ricercatrice al centro della vicenda
Dear Malta Gaming Authority,
Yes, I hacked you, and the data obtained has been shared with media partners, authorities,….And yes, we will expose the organized crime enablement schemes you created while presenting yourselves as a “legitimate public service”. pic.twitter.com/Z7EqRnNbCk
— Lilith Wittmann (@LilithWittmann) March 20, 2026
La storia è esplosa quando la ricercatrice tedesca di sicurezza informatica Lilith Wittmann ha rivendicato pubblicamente la responsabilità, dichiarando su X di aver violato i sistemi della MGA e di aver condiviso i dati ottenuti con testate giornalistiche e autorità. I suoi post vanno oltre gli aspetti tecnici, accusando l’Autorità di favorire la criminalità organizzata attraverso il proprio regime di licenze e avvertendo che qualsiasi tentativo di estradizione farebbe scattare la pubblicazione di un archivio più ampio di dati relativi all’iGaming.
In una comunicazione successiva, la MGA ha condannato qualsiasi accesso o diffusione non autorizzata di dati e ha respinto quelle che definisce accuse infondate collegate all’incidente. Al momento della stesura di questo articolo, il regolatore non ha confermato quali dati – se ce ne sono – Wittmann possa effettivamente aver ottenuto, e i dettagli restano soggetti a indagini in corso e a potenziali procedimenti legali.
You ain’t have hacked nobody lmao
Just another wannabe seeking for attention..— HighDevil (@MrHighDevil) March 20, 2026
Quali dati potrebbero essere a rischio?
Le dichiarazioni ufficiali e diversi media di settore sottolineano che i principali database regolatori (inclusi i registri delle licenze, la documentazione di conformità e gli strumenti di reporting di vigilanza) sono ospitati in ambienti separati e rinforzati, e non risultano compromessi. La violazione sembra aver coinvolto sistemi non regolatori utilizzati per le operazioni interne, anche se alcuni esperti di sicurezza osservano che tali punti di accesso possono, in determinati scenari di attacco, essere sfruttati per spostarsi lateralmente verso asset più sensibili se non vengono contenuti rapidamente.
Finora, la MGA e le fonti esterne riportano che non ci sono prove di esfiltrazione di dati personali dei giocatori, informazioni finanziarie o documenti regolatori inviati dagli operatori. Tuttavia, questa posizione è accompagnata dalla consueta precisazione: le indagini sono in corso e il lavoro forense richiede tempo. L’Autorità si è impegnata a fornire aggiornamenti alle entità coinvolte “a tempo debito”, in linea con i requisiti europei del Network and Information Systems (NIS) e con i propri obblighi di divulgazione.
Perché questo è importante per gli operatori con licenza maltese
Malta rilascia licenze a oltre 300 aziende che detengono poco più di 300 licenze di gioco, e il settore rappresenta una quota significativa del valore aggiunto nazionale lordo. La stabilità e la credibilità del quadro regolatorio sono quindi elementi economicamente cruciali. Qualsiasi incidente informatico che coinvolga l’autorità di vigilanza si trasforma inevitabilmente in un evento di fiducia per operatori, banche, fornitori di pagamenti e regolatori esteri che si basano sulla reputazione di Malta come hub maturo.
Anche se la violazione dovesse essere confermata come limitata a strumenti interni senza perdita di dati, è probabile che porti a domande più stringenti da parte di revisori, consigli di amministrazione e controparti riguardo al rischio legato a terze parti, alla resilienza del regolatore e alla trasparenza nella comunicazione degli incidenti. Per gli operatori che già affrontano esposizioni a ransomware e attacchi DDoS, il messaggio è chiaro: l’infrastruttura regolatoria fa parte della superficie di attacco estesa, non è un’isola isolata.
Passi pratici per gli operatori in questo momento
Mentre la MGA completa la sua indagine, gli operatori e i fornitori con licenza maltese possono adottare diversi passi pragmatici, in linea sia con le buone pratiche di sicurezza sia con le aspettative più ampie dell’Autorità in materia di conformità:
- Mappare dove si dipende dai sistemi della MGA (portali di reporting, strumenti di licensing, integrazioni API) e valutare eventuali esposizioni indirette.
- Rafforzare il monitoraggio relativo a login, chiamate API e flussi di dati che coinvolgono endpoint rivolti al regolatore.
- Rivedere la gestione del rischio legato a terze parti, inclusa la modalità con cui gli incidenti che coinvolgono il regolatore sono trattati nei playbook interni e negli accordi sui livelli di servizio.
- Ricontrollare le procedure di segnalazione degli incidenti e di notifica delle violazioni dei dati, assicurandosi che siano allineate alle aspettative della MGA, del GDPR e del NIS.
- Preparare punti chiave da presentare al consiglio di amministrazione che distinguano tra fatti confermati, rischi credibili e pura speculazione.
Gli specialisti in compliance sottolineano che i regolatori si aspettano sempre più che i licenziatari considerino la cybersicurezza come una parte centrale della conformità continua, non solo come un tema IT. Ciò include la segnalazione tempestiva di qualsiasi sospetto incidente sui dati e piani di mitigazione chiari. In questo contesto, la vicenda dell’hack alla MGA non è tanto uno scandalo isolato quanto un test in tempo reale della resilienza, e della trasparenza, dell’intero ecosistema iGaming maltese.
Una nuova fase si apre all’ombra dello skyline di San Paolo. Dal 6 al 9 aprile 2026, BiS SiGMA South America trasformerà la capitale del gaming dell’America Latina in un hub di innovazione, interventi audaci e opportunità da miliardi di dollari: è un evento a cui vale la pena esserci.
