Curaçaose kansspeltoezichthouder: vergunningenportaal negen maanden lang toegankelijk via valse identiteit

De Curaçao Gaming Authority (CGA) heeft bevestigd dat een buitenstaander ongeveer negen maanden toegang had tot haar online vergunningenportaal. In een vervolgverklaring van 22 september 2026 schrijft de toezichthouder dat de toegang verliep via het klantgedeelte van het portaal, het deel dat aanvragers en vergunninghouders gebruiken. Daarvoor werd een account gebruikt dat in december 2025 onder een valse identiteit was aangemaakt. De toegang duurde tot die in september 2026 werd ontdekt en afgesloten.

Volgens de CGA combineerde het account een variant op de naam van een bestaand persoon met een bedrijf dat in het register van de Kamer van Koophandel van Curaçao staat. De toezichthouder spreekt van ‘een ernstige inbreuk naar Curaçaos recht’ en zegt de zaak te zullen melden bij de bevoegde instanties.

Van ‘ingedamd’ naar negen maanden

De CGA maakte het incident voor het eerst bekend op 17 september 2026. Toen heette het dat de ongeautoriseerde toegang was ingedamd en de bron was geïdentificeerd, dat de dienstverlener een forensisch onderzoek was begonnen en dat er geen aanwijzingen waren dat de centrale technische infrastructuur was gecompromitteerd. Een periode noemde de toezichthouder niet.

De vervolgverklaring kwam nadat de Duitse beveiligingsonderzoeker Lilith Wittmann op 22 september haar eigen verslag publiceerde, samen met het Nederlandse onderzoeksplatform Follow the Money (FTM) en andere Europese mediapartners. De CGA noemt haar naam niet. Wel zegt de toezichthouder dat de beweringen van de onderzoeker, dat zij toegang had tot het portaal en gegevens over Curaçaose aanbieders en interne CGA-documenten heeft binnengehaald, ‘overeenkomen met het interne onderzoek’.

Wittmann schrijft dat ze op 3 december 2025 voor het eerst inlogde, en dat het lek ongeveer een halfuur werd gedicht nadat ze de toezichthouder op 17 september rond 22.00 uur haar vragen had gestuurd, de dag van de eerste verklaring. Die tijden komen van haar; de CGA heeft zelf geen tijdlijn gepubliceerd.

Wat het lek bevat en wat de CGA bevestigt

Volgens de toezichthouder is de volledige omvang van het buitgemaakte materiaal nog niet vastgesteld. De CGA zegt ‘geen cijfers te herhalen die zij niet kan verifiëren’.

De berichtgeving tot nu toe beschrijft een omvangrijke verzameling. Volgens FTM kreeg Wittmann tienduizenden vertrouwelijke documenten in handen, waaronder vergunningaanvragen, namen van eigenaren, beoordelingen van de toezichthouder zelf, paspoorten, belastingaangiften en financiële gegevens. Volgens FTM staan in de bestanden ongeveer 800 eigenaren van bijna 650 vergunde gokbedrijven. De CGA heeft die aantallen niet bevestigd.

FTM meldt ook dat vergunningen werden verleend terwijl vragen over eigendom of de herkomst van geld nog openstonden. De CGA heeft dat tegenover FTM niet ontkend. Ze wees op een overgangsperiode waarin bedrijven stap voor stap aan de eisen van de Curaçaose kansspelwet uit 2024 mogen gaan voldoen. In haar verklaring van 22 september stelt de toezichthouder dat ze sinds het begin van de hervorming ‘robuuste interne procedures’ volgt bij het onderzoek naar aanvragers, en dat je geen conclusies moet trekken uit losse documenten zonder de context van de betreffende aanvraag.

Beveiliging en vervolgstappen

Sinds 17 september heeft de CGA naar eigen zeggen de beveiliging van zowel de backoffice als de klantomgeving van het portaal aangescherpt en beveiligingsupdates voor de software doorgevoerd. Online vergunninghouders zijn ingelicht over aanpassingen die zij aan hun kant moeten doen, met het dringende verzoek die zo snel mogelijk door te voeren.

Als uit het onderzoek blijkt dat gegevens van personen, aanvragers, vergunninghouders of andere betrokkenen geraakt kunnen zijn, zegt de CGA die partijen rechtstreeks te informeren. Verdere updates volgen naarmate het onderzoek vordert.

Ook de lokale politiek bemoeit zich ermee. De Statenfractie MAN-PIN wil de Landsverordening op de Kansspelen aanpassen en de infrastructuur en data van het online gokstelsel terughalen naar Curaçao, meldt Curaçao.nu. De fractie heeft gevraagd het Statendebat over de landsverordening uit te stellen tot de onderzoeken naar de CGA zijn afgerond.

Wat dit betekent voor spelers

De tot nu toe beschreven stukken gaan over aanvragers, vergunninghouders en hun eigenaren. De CGA heeft niet gemeld dat accounts van casinospelers zijn getroffen, en ook de berichtgeving beschrijft geen spelersgegevens. Voor spelers is het effect indirect: volgens FTM draaien bedrijven met een Curaçaose vergunning duizenden goksites, en het lek voedt de al lang bestaande vraag hoe grondig hun eigenaren worden gecontroleerd.

Een Curaçaose vergunning is niet hetzelfde als een vergunning in je eigen land. Kijk voor je stort wie een casino runt en wat er in de voorwaarden staat. Onze gids over de kleine lettertjes laat zien waar je op let. 18+. Is gokken niet meer leuk, lees dan onze pagina over verantwoord spelen.