Curaçao : le régulateur des jeux reconnaît neuf mois d’accès à son portail de licences sous une fausse identité

La Curaçao Gaming Authority (CGA) a confirmé qu’une personne extérieure a eu accès à son portail de licences en ligne pendant environ neuf mois. Dans un communiqué de suivi daté du 22 septembre 2026, le régulateur explique que l’accès s’est fait par la partie client du portail, celle qu’utilisent les demandeurs et les titulaires de licence. Il passait par un compte créé en décembre 2025 sous une fausse identité et a duré jusqu’à sa détection et sa fermeture en septembre 2026.

Selon la CGA, le compte associait une variante du nom d’une personne réelle à une société inscrite au registre de la Chambre de commerce de Curaçao. Le régulateur parle d’« une atteinte grave au regard du droit curaçaoen » et indique qu’il signalera les faits aux autorités compétentes.

De « maîtrisé » à neuf mois

La CGA a rendu l’incident public pour la première fois le 17 septembre 2026. Elle affirmait alors que l’accès non autorisé avait été maîtrisé et sa source identifiée, que son prestataire avait lancé une enquête forensique et qu’aucune compromission de son infrastructure technique centrale n’avait été constatée. Aucune durée n’était mentionnée.

Le communiqué de suivi est intervenu après que la chercheuse allemande en sécurité Lilith Wittmann a publié son propre récit le 22 septembre, en coordination avec la plateforme d’investigation néerlandaise Follow the Money (FTM) et d’autres partenaires médias européens. La CGA ne la nomme pas. Elle affirme toutefois que les déclarations de la chercheuse, selon lesquelles elle a accédé au portail et extrait des données sur des opérateurs curaçaoens ainsi que des documents internes de la CGA, sont « cohérentes avec son enquête interne ».

Wittmann écrit s’être connectée pour la première fois le 3 décembre 2025. Selon elle, la faille a été refermée environ une demi-heure après l’envoi de ses questions au régulateur, vers 22 heures le 17 septembre, jour du premier communiqué. Ces horaires sont les siens ; la CGA n’a pas publié sa propre chronologie.

Ce que contient la fuite, et ce que confirme la CGA

Selon le régulateur, l’ampleur exacte des données obtenues n’est pas encore établie. La CGA dit qu’elle « ne reprendra pas de chiffres qu’elle ne peut pas vérifier ».

Les articles publiés décrivent un volume important. Selon FTM, Wittmann a obtenu des dizaines de milliers de documents confidentiels : demandes de licence, noms de propriétaires, évaluations internes du régulateur, passeports, déclarations fiscales et informations financières. D’après FTM, les fichiers permettent d’identifier environ 800 propriétaires de près de 650 sociétés de jeux titulaires d’une licence. La CGA n’a pas confirmé ces chiffres.

FTM rapporte aussi que des licences ont été accordées alors que des questions sur l’actionnariat ou l’origine des fonds restaient sans réponse. La CGA ne l’a pas contesté auprès de FTM. Elle a invoqué une période de transition pendant laquelle les sociétés disposent de temps pour se conformer progressivement à la loi sur les jeux de 2024. Dans son communiqué du 22 septembre, le régulateur affirme suivre des « procédures internes solides » de vérification préalable depuis le début de la réforme, et estime qu’il ne faut pas tirer de conclusions de documents isolés sans le contexte de chaque dossier.

Mesures de sécurité et prochaines étapes

Depuis le 17 septembre, la CGA dit avoir renforcé la sécurité du portail, tant dans le back-office que dans l’interface client, et installé des mises à jour de sécurité logicielles. Les opérateurs en ligne titulaires d’une licence ont été informés des modifications à apporter de leur côté et invités à les mettre en œuvre dès que possible.

Si l’enquête établit que des informations concernant des particuliers, des demandeurs, des titulaires de licence ou d’autres parties prenantes ont pu être touchées, la CGA indique qu’elle les préviendra directement. Elle promet d’autres informations au fil de l’enquête.

L’affaire a aussi gagné la scène politique locale. Le groupe parlementaire MAN-PIN veut modifier l’ordonnance nationale sur les jeux et rapatrier à Curaçao l’infrastructure et les données du système de jeux en ligne, rapporte Curaçao.nu. Il a demandé que le débat parlementaire sur l’ordonnance attende la fin des enquêtes visant la CGA.

Ce que cela signifie pour les joueurs

Les documents décrits jusqu’ici concernent des demandeurs, des titulaires de licence et leurs propriétaires. La CGA n’a pas indiqué que des comptes de joueurs de casino étaient touchés, et les articles publiés ne décrivent pas de données de joueurs. Pour les joueurs, l’effet est indirect : selon FTM, les sociétés titulaires d’une licence de Curaçao exploitent des milliers de sites de jeux, et la fuite relance une question ancienne, celle du sérieux des contrôles sur leurs propriétaires.

Une licence de Curaçao n’équivaut pas à une licence dans votre propre pays. Avant de déposer, vérifiez qui exploite un casino et ce que disent ses conditions. Notre guide sur les petites lignes explique quoi regarder. 18+. Si le jeu cesse d’être un plaisir, consultez notre page sur le jeu responsable.