Casino Royale

Buenas,

Una vez más, vamos a hablar de la fauna y flora que puebla nuestro correo electrónico. Lamento deciros que no hablaré de la película de Bond, ni tampoco de la de Peter Sellers, todo sea dicho. Hoy toca hablar de un tema controvertido, y ese no es otro que los casinos online.

El tema de los casinos online es muy delicado. Muchos son legítimos, tan legítimos como un casino físico, y por tanto, nada podemos decir en contra de ellos. Bien es cierto que son legítimos en diversos emplazamientos físicos donde la idea de negocio legítimo se contonea vagamente por la delgada línea que atraviesa lo legal de lo ilegal, y bien es cierto que el problema muchas veces es el carácter no territorial de Internet, ya que, pese al hecho de que un servicio de juego en línea pueda ser legítimo de acuerdo a la legislación de un país, esto no implica que sea legítimo en otra jurisdicción territorial. No entraremos en esta disquisición, ya que se puede tornar eterna, y jurídicamente es absolutamente eterna.

Tampoco cometeríamos un error al aseverar que entre toda la amalgama de servicios de juego online hallan cobijo numerosos sitios muy alejados de la legitimidad, o que se valen de medios muy poco o nada legítimos para conseguir clientela. Y también hay espacio para servicios fraudulentos que sólo persiguen robar credenciales bancarias de usuarios confiados. Por desgracia, el abanico es muy amplio.

Los métodos de captación son diversos, aunque la estrella se la lleva el correo basura. El spam de casinos es abundante en cualquier buzón y son muchos los casinos online que aprovechan el spam como medio publicitario. De todos es sabido que el spam es barato y que el spam funciona bien.

El gancho

El gancho, como hemos dicho, es mayoritariamente el correo basura, que suele estar acompañado de ofertas de inicio de juego. He aquí un ejemplo real, donde se ofrecen bonos de bienvenida a los suscriptores del servicio:

Los agentes

Los casinos en línea operan en su amplia mayoría con agentes instalados en el PC, que se comunican vía Internet con el casino y con la pasarela de pago escogida. En el caso anterior, la URL emborronada apunta a un ejecutable, cuyos contenidos, tal y como podíamos sospechar, son susceptibles de sospecha:

El problema de los casinos es precisamente éste. Como es normal depender de un agente, muchas veces se emplea el agente para distribuir malware. Este caso real es el enésimo caso de distribución de un malware bien conocido dentro del panorama, aunque imaginaros la cantidad de cosas que podría haber en un ejecutable no confiable, elaborado por personas a las que no conocemos. Por poner algunos ejemplos:

* Ejecutables de casinos reales, servidos con adware que recoge y envía nuestros hábitos en el servicio online al proveedor
* Ejecutables de casinos reales, con adware publicitario que minará nuestra navegación aún fuera del ámbito del casino (generalmente, vinculados al caso anterior)
* Ejecutables de casinos reales, empaquetados con troyanos de robo de credenciales que actúan en paralelo a las operativas reales del casino
* Ejecutables de casinos reales, troyanizados con integradores en botnets, que operan en paralelo a la actividad real del casino
* Ejecutables de casinos irreales, con troyanos para robo de credenciales, de integración en botnets o de cualquier otro tipo

También hay veces que los ejecutables son meras pasarelas para que el jugador pueda jugar. Sin adware, sin malware. Son los casos de casinos que, independientemente del estado de la observancia de la legislación relativa al juego, tanto en lo referido al emplazamiento donde está ubicado el jugador como el emplazamiento del prestador del servicio, son casinos reales, donde el beneficio se obtiene de la suma de pérdidas y ganancias en las que estadísticamente incurren los jugadore participantes.

Volviendo a nuestro caso real, es una variante conocida como os decía, y pese a que se trata de una pasarela real que permite jugar realmente en un casino online, incorpora adware que emite publicidad en segundo plano (habitualmente mostrando popups inesperados del navegador). En paralelo, recoge datos y hábitos del usuario y los comunica al proveedor, para que éste oriente más el servicio al cliente, y por tanto, se maximice todo lo posible su experiencia en el casino. Este adware tiene modalidades de funcionamiento muy perfeccionadas, no limitándose sólo a los popups, sino a los popunders, a la instalación no deseada de barras de herramientas publicitarias, incrustación de enlaces en páginas Web, en el propio interfaz de Windows e incluso anuncios dinámicos en el mismo cliente de conexión al casino. Todo está orientado a que el cliente use los servicios publicitarios, los cuales se le hacen llegar de un modo forzado mediante el adware, y que los rendimientos publicitarios sean fuente de ingreso, como lo es el mero hecho de participar en un juego de azar.

Los dominios empleados en la comunicación

Una consulta rápida a los datos registrales apunta a dos dominios dentro del spam:

* Dominio principal, donde se alojan las páginas estáticas del casino, cuya fecha de creación es 10 de febrero de 2008. Es una fecha muy cercana en el tiempo (ayer), y por tanto, ha de ser observada como sospechosa.

* Dominio secundario, desde donde el que se descarga el agente ejecutable, cuya fecha de creación es el 25 de septiembre de 2007, y registrado y operado desde China. Emplazamiento sospechoso, y empleado en la distribución de muchas variantes de este tipo de pasarelas de conexión a casinos online.

¿Qué debería tener un casino online legítimo?

Insisto en que cuando hablo de legítimo no hablo de legalidad del juego en sí, sino en que los casinos en sí sean meros casinos sin regalito sorpresa.

Los jugadores que de un modo voluntario deseen jugar en línea, siempre bajo su responsabilidad, deberían tener claras algunas nociones a la hora de operar con un casino online. Algunas cosas exigibles a un entorno en línea de este tipo son:

* Identificación clara y unívoca de la titularidad del servicio
* Existencia de referencias reales, donde otros jugadores narren su experiencia y donde se pueda comprobar la transparencia del servicio
* Cumplimiento de la legislación de juego electrónico, cuando aplique, si bien esto no es garantía de nada por el carácter interterritorial de Internet
* Presencia de mecanismos para la protección de menores
* Presencia de mecanismos de prevención de juego compulsivo (operadores que detectan este tipo de comportamientos y bloquean las cuentas de personas que incurren en este comportamiento)
* Presencia de mecanismos de restricción de cantidades máximas a apostar
* Presencia de mecanismos de autoexclusión que permitan que el propio usuario se autoexcluya del juego durante el tiempo que estime necesario
* Declaración de juego justo e imparcial, carente de artimañas no visibles para el usuario, que pueda ser debidamente acreditada o que pueda llegar a estar certificada por algún organismo (algo complicado, pero es viable)

¿Es legal operar un casino online en España?

En España tenemos como marco normativo la Orden del 9 de enero de 1979, por la que se aprueba el Reglamento de Casinos de Juego. Esta norma establece mecanismos de control muy serios para los casinos de juego físicos, y no contempla (raro sería que lo contemplara siendo de 1979) los casinos online como variantes posibles de su catálogo de juegos. A priori, no es posible constituir en España un casino online, ya que esta actividad no está recogida en dicha Orden.

El problema es que, para eludir cuestiones legales, la mayoría de estos establecimientos operan en paraísos fiscales, y en muchos casos, no es posible determinar absolutamente nada de su régimen de funcionamiento. Este oscurantismo al consumidor suele revertir directamente en multitud de casinos clandestinos, donde además del dinero, se nos intentará desplumar de datos bancarios y personales, para utilizaciones diversas. En este tipo de ambientes de oscuridad, las garantías son escasas, y sucumbir a una estafa es algo bastante más frecuente de lo que podamos pensar.

Algunos de estos paraísos fiscales, según la OCDE, son Anguila, Antigua y Barbuda, Antillas Holandesas, Aruba, Bahamas, Bahréin, Bermudas, Belice, Chipre, Dominica, Gibraltar, Granada, Guernesey, Isla de Jersey, Isla de Man, Islas Caimán … la lista es larga.

¿Cuales son los riesgos de este tipo de servicios?

El riesgo primario es la adicción al juego. Huelgan comentarios al respecto, ya que escapan del ámbito de este blog. El riesgo secundario, que sí tiene que ver con la seguridad, estriba en la dificultad que tiene muchas veces distinguir servicios legítimos (recordad, con las debidas observaciones efectuadas cuando se habla de legítimos) de los servicios fraudulentos.

Mi opinión sincera es que son demasiados los riesgos y que el volumen de servicios transparentes y legítimos frente los que no lo son es muy oscilante. En muchas ocasiones es imposible determinar la naturaleza de un prestador de juego online hasta que no introducimos datos reales, y trazamos qué pasa con los pagos y cobros.

¿Merece la pena arriesgar? Yo sinceramente, pienso que no. Una vez que conocéis mejor los riesgos, sois vosotros los que decidís.