Curaçaon viranomainen avaa portaalimurtoa ja suunnittelee korvaavaa järjestelmää

Curaçao Gaming Authority on julkaissut yksityiskohtaisen selonteon verkkorahapelien lisenssiportaaliin kohdistuneesta tietomurrosta. Siinä käsitellään oikeustoimia, tietojen poistamisyrityksiä ja ulkopuolisen yhtiön hallinnoiman järjestelmän korvaamista.

Lokakuun 19. päivänä julkaistussa lausunnossa CGA kertoi havainneensa 17. syyskuuta, että saksalainen kyberturvallisuustutkija oli päässyt portaaliin ilman lupaa. Sen tutkimusten mukaan pääsy jatkui joulukuun 2025 ja syyskuun 2026 välillä.

Viranomainen kertoi, että verkkorahapelilisenssien haltijoiden luottamuksellisia tietoja oli hankittu ja julkaistu. Se luonnehti toimintaa rikolliseksi ja ilmoitti tilanneensa riippumattoman teknisen selvityksen hyökkäyksen vaikutuksista ja seurauksista. 

Ilmoitukset tehty kolmella lainkäyttöalueella

CGA kertoi tehneensä rikosilmoituksia ja ilmoittaneensa tapauksesta Curaçaon, Saksan ja Alankomaiden viranomaisille.

Se palkkasi myös erikoistuneita yrityksiä pyrkimään julkaistujen tietojen poistamiseen internetistä ja harkitsee siviilioikeudellisia toimia.

Lausunto nimeää kohteeksi joutuneeksi infrastruktuuriksi lisenssiportaalin ja sen tietokannan, joita molempia hallinnoi ulkopuolinen yhtiö. Palveluntarjoajaa ei nimetä.

Asiakirja esittää CGA:n kuvauksen tapauksesta ja siihen reagoinnista. Se ei sisällä riippumattoman teknisen selvityksen lopullisia tuloksia. 

Väliaikaisen portaalin käynnistyminen yhä vahvistamatta

CGA luopui aiemmasta portaalista ja siihen liittyvistä palvelujärjestelyistä pysyvästi 7. lokakuuta alustavan tutkimuksen, turvallisuustoimien ja järjestelmän käytöstä poistamisen jälkeen.

Korvaamista koskevassa lausunnossa väliaikainen portaali oli määrä käynnistää 19. lokakuuta. Samalla suunniteltiin lisenssirekisteriä ja digitaalista sinettiä, jonka on tarkoitus osoittaa verkkosivustolla olevan CGA-lisenssi.

Samassa asiakirjassa kuvattiin kuitenkin vielä keskeneräisiä töitä. Sisäinen järjestelmä, rekisteri ja sinetti olivat valmiita riippumattomiin turvallisuustarkastuksiin, mutta asiakkaille suunnattu portaali vaati muutoksia ennen testausta.

Lokakuun 20. päivänä CGA:n etusivulla näkyi edelleen suunniteltu aloituspäivä 19. lokakuuta. Ilmoitus ei vahvistanut korvaavan järjestelmän käyttöönottoa. 

CGA valmistautuu myös pysyvän portaalin kehittämiseen ja hallinnointiin.

Ulkoistaminen seurasi nopeutettua sääntelyuudistusta

Viranomainen selitti lausunnossaan, miksi se turvautui aluksi ulkopuoliseen teknologiaan ja osaamiseen.

CGA:n mukaan valtiovarainministeriö päätti vuoden 2023 jälkipuoliskolla aloittaa verkkorahapelien valvonnan uudistamisen ennen uuden National Ordinance on Games of Chance -säädöksen eli LOK:n voimaantuloa joulukuussa 2024.

Viranomainen viittasi Alankomaiden kanssa tehtyihin sopimuksiin, pelaajavalitusten lisääntymiseen, kielteiseen mediajulkisuuteen ja valmistautumiseen Caribbean Financial Action Task Forcen Curaçaota koskevaan arviointiin kesäkuussa 2024.

Koska uudistus vaati erityisosaamista, CGA otti mukaan ulkopuolisia toimijoita, joilla oli kokemusta teknologiasta, lisensoinnista ja valvonnasta. Sen mukaan ulkopuolisesti hallinnoitu portaali oli tarkoitus korvata ajan myötä sisäisesti hallinnoidulla järjestelmällä.

Vuodesta 2024 lähtien CGA on palkannut 14 työntekijää pääasiassa lisensointiin, valvontaan ja sääntöjen täytäntöönpanoon. Tavoitteena on kehittää paikallista osaamista ja vähentää riippuvuutta neuvonantajista. Se korosti lisensointi- ja valvontavastuun pysyneen koko ajan viranomaisella. 

Portaalin sulkeminen ei mitätöi nykyisiä lisenssejä. Operaattorit vastaavat edelleen velvoitteidensa täyttämisestä, kun lisensointi- ja valvontatyö jatkuu vaihtoehtoisin järjestelyin.