Condições de Licença da UK Gambling Commission e Segurança de Scripts de Terceiros: O Que os Operadores Precisam de Saber

Resumo: exposição a scripts de terceiros no LCCP da UKGC

• O LCCP aplica-se na mesma: A UKGC nunca menciona "JavaScript", por isso os operadores fingem que o LCCP também não o faz. O Social Responsibility Code 3.4.1 e o Ordinary Code 5.1 não querem saber em que camada o dano ocorreu. Se um script no seu domínio prejudicou o jogador, a responsabilidade é sua.
• As multas são reais: O operador típico carrega entre 40 e 80 scripts de terceiros por sessão, e o cside detectou mais de 300.000 sinais de ataque em sites monitorizados no primeiro trimestre de 2025. O ICO multou a British Airways em 20 milhões de libras pelo mesmo tipo de falha na camada de browser, e o Artigo 33 do UK GDPR dá 72 horas para notificar.
• Comece com uma análise: Faça esta semana uma análise a uma página voltada para o jogador que esteja em produção. Todo o script que a sua equipa de conformidade não consiga identificar de imediato é uma questão de licença à espera de acontecer. Esse é o seu inventário de partida.

Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.

Ao trabalhar com operadores licenciados pela UKGC, a lacuna que encontramos mais consistentemente não está nas suas políticas de jogo responsável nem nos seus controlos AML. Está na camada de browser. As equipas de conformidade passam meses a preparar-se para revisões da UKGC e inquéritos do ICO, mas quase nenhuma delas tem uma resposta documentada para a pergunta: que JavaScript de terceiros está a executar nas suas páginas voltadas para o jogador neste momento? Quando fazemos uma análise inicial para um novo operador, a descoberta típica é de 40 a 80 scripts por sessão, com uma proporção material que a equipa de conformidade não consegue justificar de imediato.

A UK Gambling Commission mantém os operadores licenciados a um elevado padrão de integridade técnica e protecção do jogador. O que muitas equipas de conformidade ainda não contabilizaram é a camada de browser: o JavaScript que corre no dispositivo de um jogador depois de as suas páginas carregarem. O cside detectou mais de 300.000 sinais de ataque em sites monitorizados só no primeiro trimestre de 2025. Este número resulta de sessões de utilizadores reais instrumentadas em todo o parque monitorizado, contando cada comportamento anómalo distinto (tentativa de redireccionamento, exfiltração de dados, acesso a campos de formulário fora do âmbito declarado ou disparo de shadow pixel) como um sinal separado. Uma proporção significativa desses sinais teve origem em scripts de terceiros que os operadores tinham esquecido ou presumido serem benignos. Se um script no seu domínio está a redireccionar jogadores, a exfiltrar dados de formulário ou a cometer fraude de afiliado, o LCCP torna-o responsável por isso.

O que o LCCP exige efectivamente ao nível do browser

Resposta rápida: As Licence Conditions and Codes of Practice da UKGC exigem que os operadores mantenham um ambiente tecnicamente seguro para as interacções dos jogadores. Embora o LCCP não nomeie especificamente os ataques à cadeia de fornecimento de JavaScript, o Social Responsibility Code 3.4.1, o Ordinary Code 5.1 e as obrigações antifraude exigem, em conjunto, que os operadores saibam o que está a ser executado nas suas plataformas e previnam danos aos jogadores, seja qual for a origem.

O LCCP não se lê como uma especificação de cibersegurança. Isso faz parte do problema. As equipas de conformidade concentram-se nas medidas de jogo responsável, na verificação de idade e nas normas de publicidade, enquanto as condições relativas ao ambiente técnico ficam em segundo plano, presumindo-se estarem cobertas pela TI.

As condições relevantes incluem:

• Social Responsibility Code 3.4.1: os operadores devem tomar todas as medidas razoáveis para proteger os clientes de danos
• Ordinary Code 5.1: os operadores devem manter a integridade dos seus sistemas e a segurança dos dados dos clientes
• Condições antibranqueamento de capitais e antifraude: os operadores devem ter controlos para prevenir actividade fraudulenta nas suas plataformas
• Normas técnicas para sistemas de jogo remoto: as plataformas devem funcionar conforme esperado pelos jogadores

Os scripts de terceiros podem violar todas estas condições sem que uma única linha do seu próprio código seja comprometida. Um script de afiliado malicioso que injecta o overlay de um operador concorrente, uma tag de análise comprometida que recolhe dados de pagamento ou um ataque de redireccionamento que envia jogadores para um site diferente durante o depósito são todos falhas de integridade técnica ao abrigo do LCCP. A Comissão não aceita "não sabíamos que estava lá" como defesa.

Como os scripts de terceiros criam exposição de conformidade ao LCCP

Resposta rápida: O operador de jogo médio carrega entre 40 e 80 scripts de terceiros por sessão, cobrindo análise, rastreio de afiliados, chat ao vivo, CDNs e widgets de pagamento. Cada um é um potencial ponto de entrada. Quando algum destes scripts se comporta mal, os operadores ficam expostos, em simultâneo, ao abrigo das condições de protecção do jogador, integridade técnica e antifraude, independentemente de o script ter sido ou não intencionalmente malicioso.

Ao longo dos habituais 40 a 80 scripts por sessão, qualquer um destes caminhos cria exposição, porque o dano ocorre na sua plataforma licenciada. Um sensor na camada de browser como o cside observa cada script em runtime, detecta estes comportamentos e alerta — não bloqueia o tráfego a montante.

O risco não é teórico. Os operadores descobrem regularmente, nas suas plataformas, scripts que não conseguem justificar, seja porque foram adicionados há anos por um membro de equipa entretanto saído, porque um container de gestão de tags foi mal configurado, ou porque um fornecedor legítimo foi comprometido a montante.

Os riscos comuns de scripts de terceiros em plataformas de jogo incluem:

• Scripts de redireccionamento de afiliados que enviam silenciosamente os jogadores para plataformas concorrentes no momento de alta intenção (registo, depósito)
• Ferramentas de análise ou de mapa de calor que capturam a entrada de campos de formulário, incluindo dados de cartão de pagamento ou documentos de identidade
• Shadow pixels injectados através de containers GTM comprometidos que exfiltram dados de sessão dos jogadores para destinos desconhecidos
• Comprometimentos de cadeia de fornecimento ao estilo do Polyfill.js, em que uma biblioteca amplamente utilizada é tomada e transformada em arma (a divulgação da Sansec de Junho de 2024 mostrou mais de 100.000 sites afectados simultaneamente)

Ao abrigo do LCCP, cada um destes cenários cria exposição regulatória, porque o dano ocorre na sua plataforma licenciada, dentro de uma interacção de jogador pela qual é responsável. A UKGC não distingue entre danos causados pelo seu código e danos causados por um script de terceiros a correr no seu domínio.

Sobreposição com o UK GDPR: os operadores são responsáveis por todo o tratamento de dados no seu domínio

Resposta rápida: O Artigo 28 do UK GDPR torna os operadores responsáveis por qualquer tratamento de dados de jogadores efectuado por terceiros que ocorra no seu domínio. Se um script exfiltrar dados de jogadores para um servidor externo, o operador é o responsável pelo tratamento relativamente a essa transferência, mesmo que não tenha instalado o script. A coima de 20 milhões de libras do ICO à British Airways mostra a escala do risco de execução associado a controlos técnicos de segurança de dados inadequados.

A acção do ICO contra a British Airways em 2020 continua a ser o precedente britânico mais claro para falhas de segurança de dados na camada de browser. O ICO emitiu uma coima de 20 milhões de libras depois de atacantes terem comprometido o website da British Airways e usado scripts injectados para recolher dados de pagamento dos clientes. A conclusão do ICO foi inequívoca: a organização era responsável pelo tratamento de dados que ocorria no seu website, independentemente do vector de ataque.

Para os operadores de jogo licenciados no Reino Unido, o paralelo é directo. Os dados dos jogadores tratados no seu domínio são abrangidos pelo UK GDPR, incluindo os dados tratados por scripts de terceiros sem o seu conhecimento.

As obrigações fundamentais incluem:

• Artigo 5: os dados devem ser tratados de forma lícita, equitativa e com integridade; os operadores não podem alegar conformidade se scripts desconhecidos estiverem a tratar dados de jogadores
• Artigo 28: os terceiros que tratam dados em seu nome requerem acordos de subcontratante documentados; um script a correr no seu site sem contrato estabelecido é uma violação estrutural
• Artigo 33: se uma violação de script resultar em exposição de dados pessoais, os operadores têm 72 horas para notificar o ICO; este prazo começa a contar a partir do momento em que se tem conhecimento, e a maioria dos operadores nem sequer sabe que ocorreu uma violação até dias depois

O relatório IBM 2024 Cost of a Data Breach situa o custo médio global de uma violação em 4,88 milhões de dólares. Para operadores de jogo regulamentados, some-se a intervenção do ICO, a revisão da licença da UKGC e os danos de reputação junto dos processadores de pagamento, e a exposição é substancialmente maior.

Como é uma postura de monitorização de scripts pronta para conformidade

Resposta rápida: Uma postura pronta para conformidade, para operadores licenciados pela UKGC, exige um inventário completo e mantido de todos os scripts em execução nas páginas voltadas para o jogador, alertas automáticos sempre que surjam scripts novos ou alterados, evidência do que cada script envia e para quem, e relatórios prontos para auditoria que possam ser produzidos a pedido durante uma revisão da UKGC ou uma investigação do ICO.

A maioria dos operadores depende actualmente de uma ou mais das seguintes soluções, nenhuma das quais é suficiente por si só:

• Monitorização ao nível da rede (logs de CDN ou WAF): detecta pedidos de rede, mas não consegue ver o que um script executa após o carregamento nem que dados captura em memória
• Cabeçalhos Content Security Policy: um controlo de base útil, mas que requer manutenção e não consegue detectar exfiltração através de endpoints permitidos
• Auditorias manuais periódicas: um retrato pontual que não detecta alterações introduzidas entre ciclos de auditoria
• Plataformas de gestão de consentimento (CMPs): gerem o consentimento para ferramentas conhecidas, mas não detectam scripts injectados fora do fluxo de consentimento

Uma postura pronta para conformidade requer visibilidade em runtime: monitorização que instrumenta sessões de utilizadores reais no browser e observa que scripts são executados, que dados acedem e para onde os enviam. É esta a camada que detecta ataques de redireccionamento de afiliados, shadow pixels e comprometimentos de cadeia de fornecimento em tempo real, em vez de semanas depois.

Os requisitos operacionais para a prontidão de conformidade com a UKGC incluem:

• Inventário completo de scripts: todos os scripts first-party, de terceiros e de quarta parte em todas as páginas voltadas para o jogador, incluindo scripts carregados dinâmica e condicionalmente
• Detecção de alterações: alertas quando o comportamento de um script muda, mesmo que o seu URL não tenha mudado
• Detecção de comportamento anómalo: scripts a aceder a campos de pagamento, campos de identidade ou repositórios de cookies sem uma razão documentada
• Trilha de evidências: registos com data e hora de cada evento de execução de script, que possam ser fornecidos à UKGC ou ao ICO durante uma revisão e usados como base para investigação forense e relatórios de auditoria PCI

Como o cside produz evidências prontas para auditoria para operadores licenciados pela UKGC

Resposta rápida: O cside instrumenta 100% das sessões de utilizadores reais no browser, não um subconjunto amostrado nem uma simulação por proxy. Detecta todos os scripts em execução nas suas páginas voltadas para o jogador, mapeia os fluxos de dados para destinos externos e gera a detecção de alterações e os alertas de anomalias de que as equipas de conformidade precisam para evidenciar controlos técnicos durante uma revisão de licença da UKGC ou uma investigação do ICO.

Ao contrário de ferramentas ao nível da rede como o Cloudflare Page Shield, que monitoriza pedidos mas não consegue ver o que um script executa após o carregamento, o cside opera dentro do browser, onde o risco real reside. Ao contrário das abordagens baseadas em proxy, o cside usa sessões de utilizadores reais sem amostragem, o que significa que detecta ataques intermitentes e scripts que só se activam para determinados segmentos de jogadores.

Para os operadores licenciados pela UKGC, o cside fornece:

• Um inventário continuamente actualizado de todos os scripts first-party, de terceiros e de quarta parte nas páginas voltadas para o jogador
• Alertas automáticos quando surgem novos scripts ou quando scripts existentes alteram o seu comportamento
• Detecção de tentativas de exfiltração de dados, injecções de redireccionamento e fraude de afiliados
• Registos de evidência com data e hora para cada evento de execução de script, adequados para relatórios de auditoria PCI, investigação forense e evidência de conformidade contínua ao abrigo das normas técnicas do LCCP
• Integração com os fluxos de trabalho existentes de resposta a incidentes e de conformidade

Numa implementação junto de uma casa de apostas de média dimensão licenciada no Reino Unido (detalhes do operador anonimizados), o cside descobriu 14 scripts de terceiros com ligações de rede activas que a equipa de conformidade não tinha listado no seu inventário de scripts. Três desses scripts estavam a enviar dados para destinos que o operador não conseguia identificar de imediato. No espaço de 48 horas após a implementação, o operador conseguiu produzir um inventário completo, encerrar os fluxos de dados não declarados e iniciar documentação de DPA com dois fornecedores até então não documentados. Esse inventário passou a fazer parte do seu dossier de evidências de conformidade junto do ICO.

As equipas de conformidade que usam o cside podem responder a uma revisão técnica da UKGC com um registo documentado do que tem estado a correr na sua plataforma, de quando isso mudou e de que acção foi tomada, em vez de terem de reconstruir o quadro à pressa depois dos factos.

O que fazer a seguir

Se a sua organização detém uma licença da UKGC e não dispõe actualmente de um inventário de scripts documentado nem de capacidade de monitorização em runtime, os passos imediatos são: encomendar um inventário de scripts das suas páginas voltadas para o jogador, avaliar o que cada script envia e a quem, identificar lacunas face aos seus acordos de subcontratante, e estabelecer um mecanismo de detecção de alterações para que futuras adições sejam captadas em tempo real. A solução de segurança do lado do cliente do cside e a capacidade de monitorização de cadeia de fornecimento foram construídas especificamente para este fluxo de trabalho. Se está a preparar-se para uma revisão de licença da UKGC ou uma investigação do ICO e precisa de evidenciar controlos técnicos, uma implementação de monitorização em runtime fornece a trilha de auditoria que as ferramentas estáticas não conseguem fornecer.