Curaçaos spillmyndighet: lisensportalen var åpen for en falsk identitet i ni måneder

Curaçao Gaming Authority (CGA) har bekreftet at en utenforstående hadde tilgang til myndighetens nettbaserte lisensportal i rundt ni måneder. I en oppfølgende uttalelse datert 22. september 2026 skriver myndigheten at tilgangen skjedde via kundedelen av portalen, altså den delen søkere og lisensinnehavere bruker. Det ble brukt en konto som var registrert i desember 2025 under falsk identitet. Tilgangen varte til den ble oppdaget og stengt i september 2026.

Ifølge CGA kombinerte kontoen en variant av navnet til en virkelig person med et selskap som står i handelskammerregisteret på Curaçao. Myndigheten kaller tilgangen «et alvorlig lovbrudd etter curaçaosk lov» og sier den vil rapportere saken til relevante myndigheter.

Fra «under kontroll» til ni måneder

CGA gikk først ut med hendelsen 17. september 2026. Den gang het det at den uautoriserte tilgangen var stanset og kilden identifisert, at tjenesteleverandøren hadde startet en teknisk etterforskning, og at det ikke var funnet tegn til at myndighetens sentrale tekniske infrastruktur var kompromittert. Noen tidsperiode ble ikke oppgitt.

Oppfølgingen kom etter at den tyske sikkerhetsforskeren Lilith Wittmann 22. september hadde publisert sin egen fremstilling, sammen med den nederlandske gravejournalistiske plattformen Follow the Money (FTM) og andre europeiske mediepartnere. CGA nevner ikke navnet hennes. Men myndigheten skriver at forskerens påstander om å ha skaffet seg tilgang til portalen og hentet ut data om operatører på Curaçao og interne CGA-dokumenter «stemmer med den interne undersøkelsen».

Wittmann skriver at hun logget inn første gang 3. desember 2025, og at hullet ble tettet omtrent en halvtime etter at hun sendte myndigheten spørsmålene sine rundt klokken 22 den 17. september, samme dag som den første uttalelsen. Tidspunktene er hennes egne; CGA har ikke publisert sine.

Hva lekkasjen inneholder, og hva CGA bekrefter

Ifølge myndigheten er det fulle omfanget av materialet som ble hentet ut, ennå ikke fastslått. CGA sier den «ikke vil gjenta tall den ikke kan verifisere».

Dekningen så langt beskriver en stor datamengde. Ifølge FTM fikk Wittmann tak i titusenvis av fortrolige dokumenter, blant annet lisenssøknader, eiernavn, myndighetens egne vurderinger, pass, selvangivelser og økonomiske opplysninger. Ifølge FTM identifiserer filene rundt 800 eiere av nesten 650 lisensierte spillselskaper. CGA har ikke bekreftet disse tallene.

FTM skriver også at lisenser ble gitt mens spørsmål om eierskap eller opprinnelsen til midler fortsatt var åpne. CGA bestred ikke dette overfor FTM. Myndigheten viste til en overgangsperiode der selskapene får tid til å oppfylle kravene i Curaçaos pengespillov fra 2024 trinn for trinn. I uttalelsen fra 22. september holder CGA fast ved at den siden reformen startet har fulgt «robuste interne prosedyrer» for due diligence, og at man ikke bør trekke konklusjoner ut fra enkeltdokumenter uten sammenhengen i den enkelte søknaden.

Sikkerhetstiltak og veien videre

Siden 17. september har CGA etter eget utsagn styrket sikkerheten både i backoffice og i portalens kundegrensesnitt og installert sikkerhetsoppdateringer i programvaren. Lisensierte nettoperatører har fått beskjed om endringer de må gjøre på sin side, og er bedt om å gjennomføre dem så snart som mulig.

Dersom undersøkelsen viser at opplysninger om enkeltpersoner, søkere, lisensinnehavere eller andre berørte parter kan være rammet, sier CGA at de vil bli varslet direkte. Myndigheten lover mer informasjon etter hvert som undersøkelsen skrider frem.

Saken har også nådd lokalpolitikken. Partigruppen MAN-PIN i Curaçaos parlament vil endre øyas pengespillforordning og flytte infrastrukturen og dataene til nettspillsystemet tilbake til Curaçao, skriver Curaçao.nu. Gruppen har bedt om at en parlamentsdebatt om forordningen venter til undersøkelsene av CGA er ferdige.

Hva det betyr for spillere

Dokumentene som er beskrevet så langt, gjelder søkere, lisensinnehavere og eierne deres. CGA har ikke sagt at kontoene til kasinospillere er rammet, og dekningen beskriver heller ikke spillerdata. For spillere er virkningen indirekte: Ifølge FTM driver selskaper med lisens fra Curaçao tusenvis av spillnettsteder, og lekkasjen skjerper det gamle spørsmålet om hvor grundig eierne deres blir kontrollert.

En lisens fra Curaçao er ikke det samme som en lisens i ditt eget land. Sjekk før du setter inn penger hvem som driver et kasino, og hva som står i vilkårene. Guiden vår om det med liten skrift viser hva du bør se etter. 18+. Hvis spill slutter å være gøy, kan du lese siden vår om ansvarlig spill.