Curaçaon rahapelivalvoja: lupaportaaliin päästiin väärällä henkilöllisyydellä yhdeksän kuukauden ajan

Curaçao Gaming Authority (CGA) on vahvistanut, että ulkopuolisella oli noin yhdeksän kuukauden ajan pääsy sen verkossa toimivaan lupaportaaliin. Valvojan 22. syyskuuta 2026 päivätyn jatkotiedotteen mukaan pääsy saatiin portaalin asiakaspuolen kautta eli siitä osasta, jota luvanhakijat ja luvanhaltijat käyttävät. Käytössä oli tili, joka oli rekisteröity joulukuussa 2025 väärällä henkilöllisyydellä. Pääsy jatkui, kunnes se havaittiin ja katkaistiin syyskuussa 2026.

CGA:n mukaan tilillä yhdistettiin oikean henkilön nimen muunnelma ja yritys, joka on Curaçaon kauppakamarin rekisterissä. Valvoja kutsuu tapausta ”Curaçaon lain mukaan vakavaksi rikkomukseksi” ja aikoo ilmoittaa siitä asianomaisille viranomaisille.

”Hallinnassa” muuttui yhdeksäksi kuukaudeksi

CGA kertoi tapauksesta ensimmäisen kerran 17. syyskuuta 2026. Silloin se ilmoitti, että luvaton pääsy oli saatu hallintaan ja sen lähde tunnistettu, että palveluntarjoaja oli aloittanut rikosteknisen tutkinnan ja ettei viranomaisen keskeisen teknisen infrastruktuurin ollut havaittu vaarantuneen. Aikajaksoa tiedotteessa ei mainittu.

Jatkotiedote julkaistiin sen jälkeen, kun saksalainen tietoturvatutkija Lilith Wittmann oli 22. syyskuuta julkaissut oman kertomuksensa yhdessä hollantilaisen tutkivan journalismin julkaisun Follow the Moneyn (FTM) ja muiden eurooppalaisten mediakumppaneiden kanssa. CGA ei mainitse häntä nimeltä. Valvojan mukaan tutkijan väitteet siitä, että hän pääsi portaaliin ja vei tietoja Curaçaon pelioperaattoreista sekä CGA:n sisäisiä asiakirjoja, ovat ”yhdenmukaisia sen sisäisen tutkinnan kanssa”.

Wittmann kirjoittaa kirjautuneensa ensimmäisen kerran 3. joulukuuta 2025. Hänen mukaansa aukko suljettiin noin puoli tuntia sen jälkeen, kun hän oli lähettänyt valvojalle kysymyksensä 17. syyskuuta noin kello 22, eli samana päivänä, jona ensimmäinen tiedote julkaistiin. Ajat ovat hänen ilmoittamiaan; CGA ei ole julkaissut omaa aikajanaansa.

Mitä vuoto sisältää ja mitä CGA vahvistaa

Valvojan mukaan viedyn aineiston koko laajuutta ei ole vielä selvitetty. CGA sanoo, ettei se ”toista lukuja, joita se ei pysty todentamaan”.

Tähänastinen uutisointi kuvaa laajaa aineistoa. FTM:n mukaan Wittmann sai haltuunsa kymmeniätuhansia luottamuksellisia asiakirjoja, muun muassa lupahakemuksia, omistajien nimiä, valvojan omia arvioita, passeja, veroilmoituksia ja taloustietoja. FTM:n mukaan tiedostoista selviää noin 800 omistajaa, jotka omistavat lähes 650 luvanhaltijayhtiötä. CGA ei ole vahvistanut näitä lukuja.

FTM kertoo myös, että lupia myönnettiin, vaikka kysymykset omistuksesta tai varojen alkuperästä olivat vielä avoinna. CGA ei kiistänyt tätä FTM:lle. Se vetosi siirtymäkauteen, jonka aikana yhtiöt saavat täyttää Curaçaon vuoden 2024 rahapelilain vaatimukset vaiheittain. Syyskuun 22. päivän tiedotteessaan valvoja korostaa noudattaneensa uudistuksen alusta asti ”vankkoja sisäisiä menettelyjä” hakijoiden taustaselvityksissä. Sen mukaan yksittäisistä asiakirjoista ei pidä tehdä johtopäätöksiä ilman kunkin hakemuksen kokonaiskuvaa.

Tietoturvamuutokset ja jatko

CGA:n mukaan se on 17. syyskuuta lähtien vahvistanut portaalin tietoturvaa sekä taustajärjestelmissä että asiakasliittymässä ja asentanut ohjelmistoihin tietoturvapäivityksiä. Verkossa toimiville luvanhaltijoille on kerrottu muutoksista, jotka niiden on tehtävä omalla puolellaan, ja niitä on kehotettu tekemään ne mahdollisimman pian.

Jos tutkinnassa selviää, että yksityishenkilöitä, hakijoita, luvanhaltijoita tai muita osapuolia koskevia tietoja on voinut vaarantua, CGA sanoo ilmoittavansa asiasta heille suoraan. Lisätietoja luvataan tutkinnan edetessä.

Tapaus on noussut myös paikalliseen politiikkaan. Curaçaon parlamenttiryhmä MAN-PIN haluaa muuttaa maan rahapeliasetusta ja siirtää verkkorahapelijärjestelmän infrastruktuurin ja tiedot takaisin saarelle, kertoo Curaçao.nu. Ryhmä on pyytänyt, että asetuksesta käytävää parlamenttikeskustelua lykätään, kunnes CGA:ta koskevat selvitykset ovat valmiit.

Mitä tämä tarkoittaa pelaajille

Tähän mennessä kuvatut asiakirjat koskevat luvanhakijoita, luvanhaltijoita ja niiden omistajia. CGA ei ole kertonut, että kasinopelaajien tilejä olisi vaarantunut, eikä uutisointikaan kuvaa pelaajatietoja. Pelaajiin vaikutus on välillinen: FTM:n mukaan Curaçaon lisenssin saaneet yhtiöt pyörittävät tuhansia rahapelisivustoja, ja vuoto terävöittää pitkään esitettyä kysymystä siitä, kuinka tarkasti niiden omistajat tarkistetaan.

Curaçaon lisenssi ei ole sama asia kuin oman maasi lupa. Tarkista ennen talletusta, kuka kasinoa pyörittää ja mitä sen ehdoissa lukee. Oppaamme pienellä präntätyistä ehdoista kertoo, mihin kannattaa kiinnittää huomiota. 18+. Jos pelaaminen ei enää ole hauskaa, lue sivumme vastuullisesta pelaamisesta.