Curaçaos tilsyn beskriver portalinnbrudd og planlegger erstatningssystem

Curaçao Gaming Authority har publisert en detaljert redegjørelse for innbruddet i lisensportalen for nettpengespill, med omtale av rettslige skritt, arbeid med å fjerne data og planer om å erstatte det eksternt forvaltede systemet.

I en uttalelse publisert 19. oktober sa CGA at myndigheten 17. september oppdaget at en tysk cybersikkerhetsforsker hadde fått tilgang til portalen uten tillatelse. Undersøkelsene tydet på at tilgangen fortsatte mellom desember 2025 og september 2026.

Tilsynet sa at konfidensiell informasjon tilhørende innehavere av nettpengespillisenser var hentet ut og publisert. Det karakteriserte handlingene som kriminelle og opplyste at det hadde bestilt en uavhengig teknisk undersøkelse av angrepets innvirkning og konsekvenser. 

Anmeldelser levert i tre jurisdiksjoner

CGA sa at det hadde levert anmeldelser og rapportert hendelsen til myndigheter på Curaçao, i Tyskland og i Nederland.

Det engasjerte også spesialiserte selskaper for å forsøke å få den eksponerte informasjonen fjernet fra internett og vurderer et sivilt søksmål.

Uttalelsen identifiserer lisensportalen og databasen som den berørte infrastrukturen. Begge ble forvaltet av et eksternt selskap. Leverandøren navngis ikke.

Dokumentet presenterer CGAs redegjørelse for hendelsen og responsen. Det inneholder ikke de ferdige funnene fra den uavhengige tekniske undersøkelsen. 

Lansering av midlertidig portal er fortsatt ubekreftet

CGA avviklet den tidligere portalen og tilhørende tjenesteavtaler permanent 7. oktober, etter en innledende undersøkelse, sikkerhetstiltak og at systemet ble tatt ut av drift.

I uttalelsen om erstatningen ble en midlertidig portal planlagt til 19. oktober, sammen med et lisensregister og et digitalt segl som skal vise at et nettsted har en CGA-lisens.

Det samme dokumentet beskrev imidlertid arbeid som fortsatt gjensto. Det interne systemet, registeret og seglet var klare for uavhengige sikkerhetskontroller, mens kundeportalen trengte justeringer før testing.

Per 20. oktober viste CGAs hjemmeside fortsatt den planlagte lanseringsdatoen 19. oktober. Meldingen bekreftet ikke at erstatningssystemet var satt i drift. 

CGA forbereder også utvikling og forvaltning av en permanent portal.

Utsetting fulgte fremskyndet reguleringsreform

Tilsynet brukte uttalelsen til å forklare hvorfor det i utgangspunktet benyttet ekstern teknologi og ekspertise.

Ifølge CGA besluttet finansdepartementet i andre halvår 2023 å begynne reformen av tilsynet med nettpengespill før den nye National Ordinance on Games of Chance, kjent som LOK, trådte i kraft i desember 2024.

Myndigheten viste til avtaler med Nederland, økende spillerklager, negativ medieomtale og forberedelsene til Curaçaos vurdering av Caribbean Financial Action Task Force i juni 2024.

Fordi reformen krevde spesialistkunnskap, hentet CGA inn eksterne aktører med erfaring innen teknologi, lisensiering og tilsyn. Det sa at den eksternt forvaltede portalen etter hvert skulle erstattes av et internt forvaltet system.

Siden 2024 har CGA ansatt 14 medarbeidere, primært innen lisensiering, tilsyn og håndheving, for å bygge lokal ekspertise og redusere avhengigheten av rådgivere. Det understreket at ansvaret for lisensiering og tilsyn hele tiden lå hos myndigheten. 

Stengingen av portalen gjør ikke eksisterende lisenser ugyldige. Operatørene er fortsatt ansvarlige for å oppfylle sine forpliktelser, mens lisensierings- og tilsynsarbeidet fortsetter gjennom alternative ordninger.