Curaçaos tilsyn beskriver portalbrud og planlægger erstatningssystem

Curaçao Gaming Authority har offentliggjort en detaljeret redegørelse for sikkerhedsbruddet i sin licensportal for onlinepengespil med oplysninger om retlige skridt, forsøg på at fjerne data og planer om at erstatte det eksternt administrerede system.

I en udtalelse offentliggjort den 19. oktober sagde CGA, at myndigheden den 17. september opdagede, at en tysk cybersikkerhedsforsker havde fået adgang til portalen uden tilladelse. Dens undersøgelser tydede på, at adgangen fortsatte mellem december 2025 og september 2026.

Tilsynet sagde, at fortrolige oplysninger tilhørende indehavere af onlinepengespilslicenser var blevet indhentet og offentliggjort. Det karakteriserede handlingerne som kriminelle og oplyste, at det havde bestilt en uafhængig teknisk undersøgelse af angrebets påvirkning og konsekvenser. 

Anmeldelser indgivet i tre jurisdiktioner

CGA sagde, at det havde indgivet anmeldelser og rapporteret hændelsen til myndigheder i Curaçao, Tyskland og Nederlandene.

Det engagerede også specialiserede virksomheder til at forsøge at få de eksponerede oplysninger fjernet fra internettet og overvejer et civilt søgsmål.

Udtalelsen identificerer licensportalen og dens database som den berørte infrastruktur. Begge blev administreret af et eksternt selskab. Leverandøren navngives ikke.

Dokumentet fremlægger CGA's redegørelse for hændelsen og reaktionen. Det præsenterer ikke de endelige resultater af den uafhængige tekniske undersøgelse. 

Lancering af midlertidig portal er fortsat ubekræftet

CGA opgav permanent den tidligere portal og de tilhørende serviceaftaler den 7. oktober efter en indledende undersøgelse, sikkerhedsforanstaltninger og systemets nedlukning.

Udtalelsen om erstatningen planlagde en midlertidig portal til den 19. oktober sammen med et licensregister og et digitalt segl, som skal vise, at en hjemmeside har en CGA-licens.

Det samme dokument beskrev dog arbejde, der stadig manglede. Det interne system, registret og seglet var klar til uafhængige sikkerhedstjek, mens kundeportalen krævede justeringer før test.

Den 20. oktober viste CGA's hjemmeside fortsat den planlagte lanceringsdato den 19. oktober. Meddelelsen bekræftede ikke, at erstatningssystemet var taget i brug. 

CGA forbereder også udvikling og administration af en permanent portal.

Outsourcing fulgte accelereret reguleringsreform

Tilsynet brugte udtalelsen til at forklare, hvorfor det oprindeligt baserede sig på ekstern teknologi og ekspertise.

Ifølge CGA besluttede finansministeriet i anden halvdel af 2023 at begynde reformen af tilsynet med onlinepengespil, før den nye National Ordinance on Games of Chance, kendt som LOK, trådte i kraft i december 2024.

Myndigheden henviste til aftaler med Nederlandene, flere spillerklager, negativ medieomtale og forberedelserne til Curaçaos vurdering af Caribbean Financial Action Task Force i juni 2024.

Fordi reformen krævede specialistviden, inddrog CGA eksterne parter med erfaring inden for teknologi, licensering og tilsyn. Det oplyste, at den eksternt administrerede portal med tiden skulle erstattes af et internt administreret system.

Siden 2024 har CGA ansat 14 medarbejdere, primært inden for licensering, tilsyn og håndhævelse, for at opbygge lokal ekspertise og mindske afhængigheden af rådgivere. Det understregede, at ansvaret for licensering og tilsyn hele tiden lå hos myndigheden. 

Lukningen af portalen gør ikke eksisterende licenser ugyldige. Operatørerne er fortsat ansvarlige for at opfylde deres forpligtelser, mens licens- og tilsynsarbejdet fortsætter gennem alternative ordninger.