Toezichthouder Curaçao licht portaalinbraak toe en plant vervangend systeem

De Curaçao Gaming Authority heeft een uitgebreid verslag gepubliceerd over de inbraak in haar vergunningenportaal voor onlinegokken, met uitleg over juridische stappen, pogingen om gegevens te verwijderen en plannen om het extern beheerde systeem te vervangen.

In een verklaring van 19 oktober zei de CGA op 17 september te hebben ontdekt dat een Duitse cybersecurityonderzoeker zonder toestemming toegang had gekregen tot het portaal. Uit haar onderzoeken bleek dat de toegang tussen december 2025 en september 2026 aanhield.

Volgens de toezichthouder werd vertrouwelijke informatie van houders van onlinegokvergunningen verkregen en gepubliceerd. Zij bestempelde het gedrag als strafbaar en zei een onafhankelijk technisch onderzoek naar de impact en gevolgen van de aanval te hebben laten uitvoeren. 

Aangiften in drie rechtsgebieden

De CGA zei aangifte te hebben gedaan en het incident te hebben gemeld bij autoriteiten op Curaçao, in Duitsland en in Nederland.

Ook schakelde zij gespecialiseerde bedrijven in om de openbaar gemaakte informatie van internet te laten verwijderen en overweegt zij civielrechtelijke stappen.

De verklaring noemt het vergunningenportaal en de bijbehorende database als getroffen infrastructuur. Beide werden beheerd door een extern bedrijf. De naam van die leverancier wordt niet vermeld.

Het document beschrijft de lezing van de CGA over het incident en haar reactie daarop. Het bevat geen afgeronde bevindingen van het onafhankelijke technische onderzoek. 

Lancering tijdelijk portaal blijft onbevestigd

Na een eerste onderzoek, veiligheidsmaatregelen en het buiten gebruik stellen van het systeem nam de CGA op 7 oktober definitief afscheid van het oude portaal en de bijbehorende dienstverleningsovereenkomsten.

In haar verklaring over de vervanging stond een tijdelijk portaal gepland voor 19 oktober, samen met een vergunningenregister en een digitaal keurmerk dat moet aantonen dat een website een CGA-vergunning heeft.

Hetzelfde document beschreef echter nog openstaand werk. Het interne systeem, het register en het keurmerk waren klaar voor onafhankelijke veiligheidscontroles, terwijl het klantenportaal vóór de tests nog aanpassingen nodig had.

Op 20 oktober vermeldde de homepage van de CGA nog steeds de geplande lanceringsdatum van 19 oktober. Die melding bevestigde niet dat het vervangende systeem in gebruik was genomen. 

De CGA bereidt zich ook voor op de ontwikkeling en het beheer van een permanent portaal.

Uitbesteding volgde op versnelde hervorming van het toezicht

De toezichthouder gebruikte de verklaring om uit te leggen waarom zij aanvankelijk op externe technologie en expertise vertrouwde.

Volgens de CGA besloot het ministerie van Financiën in de tweede helft van 2023 om het toezicht op onlinegokken te hervormen voordat de nieuwe National Ordinance on Games of Chance, bekend als LOK, in december 2024 in werking trad.

De autoriteit verwees naar afspraken met Nederland, een toenemend aantal spelersklachten, negatieve mediaberichtgeving en voorbereidingen op de beoordeling van Curaçao door de Caribbean Financial Action Task Force in juni 2024.

Omdat de hervorming specialistische kennis vereiste, schakelde de CGA externe partijen in met ervaring in technologie, vergunningverlening en toezicht. Volgens de autoriteit was het de bedoeling het extern beheerde portaal op termijn te vervangen door een intern beheerd systeem.

Sinds 2024 heeft de CGA 14 medewerkers aangenomen, voornamelijk voor vergunningverlening, toezicht en handhaving, om lokale expertise op te bouwen en de afhankelijkheid van adviseurs te verminderen. Zij benadrukte dat de verantwoordelijkheid voor vergunningverlening en toezicht steeds bij de autoriteit bleef. 

De sluiting van het portaal maakt bestaande vergunningen niet ongeldig. Aanbieders blijven verantwoordelijk voor het nakomen van hun verplichtingen, terwijl vergunningverlening en toezicht via alternatieve regelingen doorgaan.