Curaçaos spillemyndighed: licensportalen var åben i ni måneder for en falsk identitet

Curaçao Gaming Authority (CGA) har bekræftet, at en udefrakommende havde adgang til myndighedens online licensportal i omkring ni måneder. I en opfølgende meddelelse dateret 22. september 2026 skriver myndigheden, at adgangen skete via portalens kundedel, altså den del, som ansøgere og licenshavere bruger. Adgangen gik gennem en konto, der var oprettet i december 2025 under falsk identitet, og varede, indtil den blev opdaget og lukket i september 2026.

Ifølge CGA kombinerede kontoen en variant af en virkelig persons navn med et selskab, der findes i Curaçaos handelskammerregister. Myndigheden kalder adgangen “et alvorligt brud på curaçaosk lov” og vil indberette sagen til de relevante myndigheder.

Fra “inddæmmet” til ni måneder

CGA offentliggjorde første gang hændelsen den 17. september 2026. Dengang lød det, at den uautoriserede adgang var inddæmmet og kilden identificeret, at myndighedens tjenesteudbyder havde indledt en teknisk-forensisk undersøgelse, og at der ikke var fundet tegn på, at myndighedens centrale tekniske infrastruktur var kompromitteret. Der blev ikke nævnt nogen tidsperiode.

Opfølgningen kom, efter at den tyske sikkerhedsforsker Lilith Wittmann den 22. september havde offentliggjort sin egen beretning sammen med den hollandske undersøgende platform Follow the Money (FTM) og andre europæiske mediepartnere. CGA nævner ikke hendes navn. Men myndigheden skriver, at forskerens påstande om at have haft adgang til portalen og hentet data om operatører på Curaçao og interne CGA-dokumenter “stemmer overens med den interne undersøgelse”.

Wittmann skriver, at hun loggede ind første gang den 3. december 2025, og at hullet blev lukket omkring en halv time efter, at hun sendte myndigheden sine spørgsmål ved 22-tiden den 17. september, samme dag som den første meddelelse. Tidspunkterne er hendes egne; CGA har ikke offentliggjort sine.

Hvad lækket indeholder, og hvad CGA bekræfter

Ifølge myndigheden er det fulde omfang af det materiale, der blev hentet, endnu ikke fastslået. CGA vil “ikke gentage tal, den ikke kan verificere”.

Den hidtidige dækning beskriver en stor datamængde. Ifølge FTM fik Wittmann fat i titusindvis af fortrolige dokumenter, blandt andet licensansøgninger, ejernavne, myndighedens egne vurderinger, pas, selvangivelser og økonomiske oplysninger. Ifølge FTM identificerer filerne omkring 800 ejere af næsten 650 licenserede spilleselskaber. CGA har ikke bekræftet de tal.

FTM skriver også, at licenser blev udstedt, mens spørgsmål om ejerskab eller midlernes oprindelse stadig var åbne. Det bestred CGA ikke over for FTM. Myndigheden henviste til en overgangsperiode, hvor selskaberne får tid til gradvist at opfylde kravene i Curaçaos spillelov fra 2024. I meddelelsen fra 22. september fastholder CGA, at den siden reformens start har fulgt “robuste interne procedurer” for due diligence, og at man ikke bør drage konklusioner ud fra enkeltstående dokumenter uden sammenhængen i den enkelte ansøgning.

Sikkerhedstiltag og næste skridt

Siden den 17. september har CGA ifølge myndigheden selv styrket sikkerheden både i backoffice og i portalens kundegrænseflade og installeret sikkerhedsopdateringer til softwaren. Licenserede onlineoperatører er blevet orienteret om ændringer, de skal foretage i deres egne systemer, og opfordret til at gennemføre dem hurtigst muligt.

Hvis undersøgelsen viser, at oplysninger om enkeltpersoner, ansøgere, licenshavere eller andre interessenter kan være berørt, vil CGA kontakte dem direkte. Myndigheden lover flere oplysninger, efterhånden som undersøgelsen skrider frem.

Sagen har også nået lokalpolitikken. Partigruppen MAN-PIN i Curaçaos parlament vil ændre landets spillelovgivning og flytte onlinespilsystemets infrastruktur og data tilbage til øen, skriver Curaçao.nu. Gruppen har bedt om, at en parlamentsdebat om loven venter, til undersøgelserne af CGA er afsluttet.

Hvad det betyder for spillere

De dokumenter, der er beskrevet indtil videre, handler om ansøgere, licenshavere og deres ejere. CGA har ikke oplyst, at spillerkonti er berørt, og dækningen beskriver heller ikke spillerdata. For spillere er betydningen indirekte: Ifølge FTM driver selskaber med licens fra Curaçao tusindvis af spillesider, og lækket forstærker det gamle spørgsmål om, hvor grundigt deres ejere bliver kontrolleret.

En licens fra Curaçao er ikke det samme som en licens i dit eget land. Tjek, før du indbetaler, hvem der driver et casino, og hvad der står i vilkårene. Vores guide til det med småt viser, hvad du skal kigge efter. 18+. Hvis spil holder op med at være sjovt, så læs vores side om ansvarligt spil.