Penetratietest in Las Vegas, NV
Las Vegas draait op een concentratie van organisaties die dag en nacht doorlopen, veel contant geld verwerken en sterk afhankelijk zijn van identiteiten, zoals weinig steden die kennen: de casinoresorts van de Strip en downtown, waaronder MGM Resorts, Caesars Entertainment, Wynn Resorts en Las Vegas Sands, de groepen voor de lokale markt zoals Station Casinos en Boyd Gaming, de fabrikanten van gamingtechnologie waarvan de slot-, tafel- en player-trackingplatforms wereldwijd casinovloeren aansturen, de door de Nevada Gaming Commission vergunde online sportsbooks, het Las Vegas Convention Center met zijn evenementeneconomie, Harry Reid International Airport, de hyperscale datacentercampussen van Zuid-Nevada, de zorginstellingen in de vallei en de defensieketen rond Nellis Air Force Base. HackersHub voert offensieve beveiligingsopdrachten uit voor Nederlandse en Europese organisaties met activiteiten in Las Vegas, gescoped op het dreigingsmodel dat hier werkelijk geldt: imitatie van medewerkers richting de helpdesk en overname van identiteiten, ransomware tegen hotel- en reserveringssystemen, blootstelling van betaalkaartgegevens over honderden kassapunten, en het bewijs voor de Nevada Gaming Control Board, PCI DSS en SOC 2 dat toezichthouders en partners verwachten. In aanmerking komende Amerikaanse bedrijven kunnen daarnaast een van de 20 kosteloze penetratietests aanvragen die HackersHub vóór de Amerikaanse uitbreiding in het eerste kwartaal van 2027 beschikbaar stelt, afhankelijk van geschiktheid, afgesproken scope en beschikbaarheid.
Het dreigingslandschap van Las Vegas en Nevada
Zuid-Nevada liet de rest van de Verenigde Staten in september 2023 zien hoe weinig technische verfijning nodig is voor een inbraak die een heel bedrijf stillegt. Binnen enkele dagen na elkaar meldden twee van de grootste casinoresortexploitanten van de Strip cyberincidenten die in publieke berichtgeving en in hun eigen SEC-meldingen werden toegeschreven aan social engineering: aanvallers deden zich volgens die berichtgeving telefonisch voor als medewerkers tegenover de IT-helpdesk, kregen wachtwoord- of MFA-resets gedaan en bewogen zich vanuit één identiteit naar de systemen die hotels, casinovloeren, reserveringen en loyaliteitsprogramma's aansturen. De ene exploitant meldde in zijn filing een impact van ongeveer 100 miljoen dollar op de resultaten van één kwartaal en dagenlange verstoring van de gastendiensten, de andere meldde dat gegevens van leden van het loyaliteitsprogramma, waaronder rijbewijsnummers, waren buitgemaakt. De les voor elke organisatie in de vallei is dat het identiteitsproces, niet de firewall, inmiddels de perimeter is: een helpdesk die credentials reset op basis van een overtuigend telefoongesprek maakt elke technische maatregel daarachter waardeloos. De rest van het lokale aanvalsoppervlak volgt hetzelfde patroon van schaal en continuïteit. Casinoresorts beheren tienduizenden endpoints over hotel, gaming, horeca, retail, entertainment en parkeren, waarvan veel door externe leveranciers met permanente remote toegang worden onderhouden. Casinovloeren zijn afhankelijk van slotmanagement-, player-tracking- en cashless-wageringsystemen die continu beschikbaar moeten zijn en als gamingapparatuur worden gereguleerd. Online sportsbooks en iGaming-apps kennen risico's op accountovername, omzeiling van geolocatie en betaalfraude. De datacentercampussen van Zuid-Nevada hosten workloads van ondernemingen in het hele land, en de ziekenhuizen in de vallei hebben te maken met dezelfde ransomwaregroepen die de Amerikaanse klinische zorg al jaren ontwrichten. Nevada reguleert dit langs twee sporen: hoofdstuk 603A van de Nevada Revised Statutes legt beveiligings- en meldplichten op aan elke verwerker van persoonsgegevens, en Regulation 5.260 van de Nevada Gaming Commission, van kracht sinds 1 januari 2023 en sindsdien gewijzigd, stelt cybersecurity-eisen aan gamingvergunninghouders. Tests in Las Vegas brengen het vaakst helpdeskverificatie aan het licht waaraan een beller met openbare informatie kan voldoen, remote toegangspaden van leveranciers naar gaming- en hotelnetwerken, vlakke netwerken tussen gasten-wifi, back-of-house en betaalsegmenten, en geprivilegieerde accounts die worden gedeeld tussen overgenomen locaties die nooit volledig zijn geïntegreerd.
Pentest nodig in Las Vegas?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we in Las Vegas routinematig bedienen
Zes sectoren die op de Strip en in de rest van de vallei de testagenda bepalen, elk met de maatregelen waar auditors en gamingtoezichthouders als eerste naar vragen.
Casinoresorts & gamingexploitanten
Casinoresortexploitanten op de Strip en downtown en gaminggroepen voor de lokale markt. Social engineering-tests van identiteit en helpdesk, externe en interne penetratietests over hotel-, gaming- en back-of-housenetwerken, segmentatietests tussen gasten-, bedrijfs-, gaming- en betaalomgevingen, en red team operaties gescoped op de werkwijze van identiteitsovername uit 2023. Bewijs afgestemd op Regulation 5.260 van de Nevada Gaming Commission, de Minimum Internal Control Standards en PCI DSS v4.0.1 Requirement 11.4.
Gamingtechnologie & online sportsbooks
Fabrikanten en systeemleveranciers van slots, tafelspellen, player-tracking en cashless wagering, en vergunde online sportsbook- en iGaming-platforms. Web-, mobiele en API-penetratietests van wedden-, wallet-, KYC- en geolocatiestromen, tests op accountovername en bedrijfslogica, review van cloudconfiguratie, en tests vóór release die certificering door onafhankelijke testlaboratoria en due diligence door exploitanten ondersteunen. Mobiele tests volgen OWASP MASVS v2 en MASTG.
Hospitality, evenementen & entertainment
Hotelgroepen, congres- en beursorganisatoren, arena's en podia, en de ticketing- en eventtechnologieplatforms erachter. Tests van hotelbeheer-, reserverings-, loyaliteits- en kassasystemen, segmentatiereview van gasten-wifi en IoT, phishingsimulaties en vishingtests afgestemd op grote frontliniepopulaties, en PCI DSS-segmentatietests onder Requirement 11.4.5 over honderden betaalpunten.
Datacenters & beheerde infrastructuur
Colocatie- en hyperscale datacenterexploitanten, managed service providers en de ondernemingen die hun workloads in Zuid-Nevada hosten. Netwerkpenetratietests van beheer- en out-of-band-netwerken, review van gebouwbeheer- en fysieke toegangscontrolesystemen, cloud- en identity-assessments, en bewijs voor de SOC 2 Trust Services Criteria richting huurders en klanten. Fysieke en social engineering-tests zijn mogelijk onder een schriftelijke autorisatiebrief.
Zorg & zorginstellingen
Ziekenhuizen, trauma- en specialistische zorg en de health-tech-bedrijven die een snel groeiende bevolking en haar bezoekers bedienen. We testen klinische en beeldvormingssegmenten, medische apparatuur die netwerken deelt met administratieve systemen, en de patiëntportalen met de grootste blootstelling. Bevindingen sluiten aan op de evaluatienorm van de HIPAA Security Rule (45 CFR 164.308(a)(8)), de meldplichten uit NRS 603A en de wet van Nevada over consumentengezondheidsgegevens; scope en frequentie staan op /insights/hipaa-penetration-testing/.
Defensieleveranciers, luchtvaart & overheid
Leveranciers van Nellis en Creech Air Force Base en de Nevada Test and Training Range, luchtvaart- en luchthavenpartijen, en staats- en countyinstanties. readinesstests voor CMMC 2.0 Level 2 en de onderliggende NIST SP 800-171-maatregelen, review van OT- en gebouwsystemen in luchthaven- en transportomgevingen, en tests van het externe aanvalsoppervlak van overheidsportalen. Het CMMC-artikel op /insights/cmmc-penetration-testing/ legt uit wat assessors controleren.
Compliance-frameworks waarvoor we rapporteren
De meeste rapporten uit Las Vegas belanden bij drie lezers: de Gaming Control Board en haar auditors, de kaartmerken en acquirers, en zakelijke klanten die om SOC 2-bewijs vragen. Wij schrijven één rapport dat alle drie bedient: een testverklaring in attestvorm, een samenvatting op bestuursniveau, reproduceerbare technische bevindingen en een herstellijst waar uw engineers mee verder kunnen, zodat een vergunninghouder die zijn onafhankelijke review onder Regulation 5.260 voorbereidt ons rapport direct aan de beoordelaar kan overhandigen.
- Nevada Gaming Commission Regulation 5.260 (Cybersecurity, van kracht sinds 1 januari 2023): risicobeoordeling, best practices en procedures, melding van incidenten aan de Gaming Control Board, en voor Group I-vergunninghouders een aangewezen gekwalificeerde functionaris en een jaarlijkse review met schriftelijke verklaring door een onafhankelijke accountant of andere onafhankelijke partij
- Minimum Internal Control Standards van de Nevada Gaming Control Board, inclusief de IT-standaarden voor gamingsystemen
- Nevada Gaming Commission Regulation 5A voor interactieve gaming en online weddenschappen
- NRS hoofdstuk 603A: redelijke beveiligingsmaatregelen voor persoonsgegevens, versleuteling van persoonsgegevens die buiten een beveiligd systeem worden verzonden, PCI DSS-naleving voor partijen die betaalkaarten accepteren, en melding van datalekken zo spoedig mogelijk
- Internetprivacybepalingen in NRS 603A (informatieplicht en het recht om bezwaar te maken tegen verkoop van gegevens) en de wet van Nevada over consumentengezondheidsgegevens, van kracht sinds 31 maart 2024
- PCI DSS v4.0.1: jaarlijkse penetratietests en tests na wijzigingen (11.4.1 tot en met 11.4.4) en segmentatietests van de grenzen rond kaartgegevens (11.4.5) over betaalpunten in hotel, retail en casinokassa
- AICPA SOC 2-onderzoeken, waarbij testbewijs de monitoringcriteria (CC7.1) en incidentresponscriteria (CC7.4) onderbouwt
- Periodieke technische en niet-technische evaluatie onder de HIPAA Security Rule, 45 CFR 164.308(a)(8), voor ziekenhuizen en zorgverzekeraars in Clark County
- CMMC 2.0 Level 2 voor leveranciers van Nellis en Creech die controlled unclassified information verwerken onder NIST SP 800-171
- SEC Form 8-K Item 1.05, de meldplicht voor materiële cybersecurity-incidenten die ten grondslag lag aan de casinomeldingen van 2023, plus de jaarlijkse risicomanagementrapportage voor beursgenoteerde exploitanten
- OWASP WSTG, OWASP MASVS v2 en MASTG voor wedden-, wallet- en loyaliteitsapplicaties
- NIST SP 800-115 als methodologische basis voor planning, uitvoering en analyse na de test
Diensten geleverd voor opdrachten in Las Vegas
De volledige catalogus van HackersHub, toegepast op locaties die nooit sluiten en op vergunningen die afhangen van aantoonbare beheersing.
Zie ook:Penetratietest in ArizonaPenetratietest in PhoenixPenetratietest in Los Angeles
Waarom organisaties in Las Vegas kiezen voor HackersHub
Wij zijn een Nederlandse firma en zeggen dat vooraf: HackersHub is in 2015 in Nederland opgericht, heeft meer dan 2.500 beveiligingsopdrachten afgerond en heeft geen kantoor in Nevada of elders in de Verenigde Staten. Een exploitant in Las Vegas krijgt in plaats daarvan een gesplitst leveringsmodel. Alles wat vanaf internet aan te vallen is (web- en mobiele wedapps, loyaliteitsportalen, API's, cloud-tenants en de telefoonlijn van de helpdesk) testen we vanuit Amsterdam. Alles waarvoor iemand fysiek in het gebouw moet zijn (casinovloersegmenten, back-of-housenetwerken, Active Directory, wifi en fysieke toegang) doen testers die voor de opdracht overvliegen, ondersteund door geselecteerde Amerikaanse delivery partners wanneer de scope of de klant daarom vraagt. Zo werken we nu al voor Amerikaanse klanten, en het vormt de basis voor de volwaardige toetreding tot de Amerikaanse markt die we voor het eerste kwartaal van 2027 plannen. Calls lopen op Pacific Time en tests volgen de rustige uren van het resort, niet de onze. Michael van Mameren (OSCP) leidt de opdracht, elke tester heeft minimaal OSCP en het team telt OSWE- en CREST-gecertificeerden, en bevindingen worden vanaf de eerste versie geschreven tegen Regulation 5.260, PCI DSS en SOC 2. Een verificatiehertest van bevindingen met ernst medium en hoger binnen 90 dagen hoort bij elke opdracht. Voor Nederlandse en Europese moederbedrijven leveren we het rapport tweetalig, zodat ook de Europese NIS2- of DORA-auditor ermee uit de voeten kan. Een senior tester neemt uw scoping-call binnen één werkdag aan.
Veelgestelde vragen: Las Vegas
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.