Le Rivers Casino de Philadelphie a reconnu une violation de données en novembre 2024, exposant les informations personnelles de ses employés sur le dark web. En conséquence, le casino a fait l’objet d’un recours en justice concernant plusieurs allégations, dont certaines ont été jugées recevables par un juge fédéral.
Rush Street Gaming, la société mère du Rivers Philadelphia basée à Chicago, a demandé au juge Joshua Wolson de la Cour de district des États-Unis pour le district est de la Pennsylvanie, en mars, de rejeter la proposition de recours collectif. Les plaignants soutiennent que le Rivers Casino, en tant qu’entreprise responsable de la protection d’informations sensibles, a failli à son devoir en matière de sécurité.
Wolson a convenu que plusieurs allégations des plaignants manquaient de fondement, mais a estimé que leur principale réclamation pour négligence avait des bases suffisantes pour aller de l’avant.
« Les plaignants ont plausiblement allégué que Rivers n’a pas exercé un soin raisonnable dans la protection de leurs informations personnelles », a conclu Wolson dans son mémo de 21 pages.
Impact potentiel sur les employés
Le Rivers Casino Philadelphia a d’abord reconnu la violation de données en janvier 2025. À ce moment-là, le casino croyait que seules les informations concernant les employés avaient été volées.
« Nous regrettons tout inconvénient ou inquiétude que cet incident pourrait causer. Le Rivers Casino Philadelphia reconnaît l’importance de protéger les informations personnelles que nous conservons »
, indiquait une lettre du casino adressée aux employés.
Le casino a proposé à ses employés une année de surveillance de crédit gratuite. La plainte affirme que les clients ont également été touchés.
Les pirates auraient volé plus de 2,56 téraoctets de données, qu’ils ont par la suite mises en vente sur le dark web. Les informations volées comprenaient des numéros de sécurité sociale, des numéros de permis de conduire, des détails de passeport et des informations bancaires.
2,56 téraoctets de données peuvent contenir environ 17 millions de pages PDF de documents variés (texte et images). D’un point de vue organisationnel, 2,56 téraoctets ne représentent pas un volume de données excessif, car même des entreprises de taille moyenne comme le Rivers Casino Philadelphia stockent généralement plus d’un pétaoctet (1 000 To) de données.
Plusieurs plaignants ont allégué dans la plainte avoir subi des tentatives d’utilisation frauduleuse de leurs informations, notamment des demandes de carte de crédit, des modifications frauduleuses et des communications de phishing.
Le plaignant Mark Metzler a affirmé qu’il y avait eu des frais non autorisés pour un abonnement Peacock sur sa carte de crédit Wells Fargo. Le plaignant Shawn Martin a déclaré avoir constaté une « augmentation substantielle » des appels, courriels et messages texte indésirables après l’incident cybernétique.
Arguments de Rivers
Les avocats du Rivers Casino Philadelphia ont soutenu dans leur demande de rejet que les courriels de phishing, le spam, les textos aléatoires, les connexions suspectes et les frais frauduleux sont des événements courants qui pourraient provenir de divers incidents non liés.
Wolson n’a pas été d’accord, affirmant que les preuves pourraient établir un lien direct avec la compromission des données du casino. Cependant, le juge a donné raison à Rivers en rejetant d’autres revendications de la plainte, notamment la violation de contrat implicite, la violation du devoir fiduciaire, l’invasion de la vie privée et l’enrichissement sans cause.
Rivers dispose désormais de temps pour répondre aux allégations restantes avant qu’un calendrier judiciaire ne soit établi.
Conclusion de l’affaire
Alors que le processus judiciaire se poursuit, les implications de cette violation de données continuent d’affecter les employés et les clients du Rivers Casino. La situation met en lumière les défis auxquels sont confrontées les entreprises en matière de sécurité des données et de protection des informations personnelles.