Regulator z Curaçao przyznaje: portal licencyjny był przez dziewięć miesięcy dostępny dla fałszywej tożsamości

Curaçao Gaming Authority (CGA) potwierdziła, że osoba z zewnątrz miała dostęp do jej internetowego portalu licencyjnego przez około dziewięć miesięcy. W komunikacie uzupełniającym z 22 września 2026 roku regulator wyjaśnia, że dostęp uzyskano przez część portalu przeznaczoną dla klientów, czyli tę, z której korzystają wnioskodawcy i licencjobiorcy. Posłużyło do tego konto zarejestrowane w grudniu 2025 roku na fałszywą tożsamość. Dostęp trwał do chwili, gdy we wrześniu 2026 roku został wykryty i zablokowany.

Według CGA konto łączyło wariant nazwiska istniejącej osoby z firmą wpisaną do rejestru Izby Handlowej Curaçao. Regulator nazywa to „poważnym naruszeniem w świetle prawa Curaçao” i zapowiada zgłoszenie sprawy właściwym organom.

Od „opanowanego” incydentu do dziewięciu miesięcy

CGA po raz pierwszy poinformowała o incydencie 17 września 2026 roku. Podała wtedy, że nieuprawniony dostęp został opanowany, a jego źródło ustalone, że usługodawca rozpoczął analizę kryminalistyczną i że nie stwierdzono naruszenia głównej infrastruktury technicznej urzędu. Nie wskazała żadnego okresu.

Komunikat uzupełniający pojawił się po tym, jak niemiecka badaczka bezpieczeństwa Lilith Wittmann opublikowała 22 września własną relację, razem z niderlandzką platformą dziennikarstwa śledczego Follow the Money (FTM) i innymi europejskimi partnerami medialnymi. CGA nie podaje jej nazwiska. Stwierdza jednak, że twierdzenia badaczki, iż uzyskała dostęp do portalu i pobrała dane o operatorach z Curaçao oraz wewnętrzne dokumenty CGA, są „zgodne z wewnętrznym dochodzeniem”.

Wittmann pisze, że po raz pierwszy zalogowała się 3 grudnia 2025 roku, a luka została załatana mniej więcej pół godziny po tym, jak około godziny 22:00 17 września wysłała regulatorowi swoje pytania, czyli w dniu pierwszego komunikatu. To jej wersja godzin; CGA nie opublikowała własnej chronologii.

Co zawiera wyciek i co potwierdza CGA

Według regulatora pełny zakres wyniesionych materiałów nie został jeszcze ustalony. CGA zapowiada, że „nie będzie powtarzać liczb, których nie może zweryfikować”.

Dotychczasowe publikacje opisują duży zbiór danych. Według FTM Wittmann zdobyła dziesiątki tysięcy poufnych dokumentów, w tym wnioski licencyjne, nazwiska właścicieli, oceny samego regulatora, paszporty, zeznania podatkowe i informacje finansowe. Według FTM pliki pozwalają zidentyfikować około 800 właścicieli niemal 650 licencjonowanych firm hazardowych. CGA nie potwierdziła tych liczb.

FTM podaje też, że licencje przyznawano, choć pytania o strukturę własności lub pochodzenie środków pozostawały otwarte. CGA nie zaprzeczyła temu w odpowiedzi dla FTM. Powołała się na okres przejściowy, w którym firmy mają czas, by stopniowo spełnić wymogi ustawy o grach hazardowych z 2024 roku. W komunikacie z 22 września regulator podkreśla, że od początku reformy stosuje „solidne procedury wewnętrzne” w badaniu due diligence, a wniosków nie należy wyciągać z pojedynczych dokumentów bez kontekstu całego wniosku.

Zmiany w zabezpieczeniach i dalsze kroki

Od 17 września CGA, jak podaje, wzmocniła zabezpieczenia portalu zarówno w zapleczu administracyjnym, jak i w interfejsie klienta oraz zainstalowała aktualizacje bezpieczeństwa oprogramowania. Licencjonowani operatorzy online zostali poinformowani o zmianach, które muszą wprowadzić po swojej stronie, i wezwani do jak najszybszego ich wdrożenia.

Jeśli dochodzenie wykaże, że mogły ucierpieć informacje dotyczące osób fizycznych, wnioskodawców, licencjobiorców lub innych zainteresowanych stron, CGA zapowiada, że powiadomi je bezpośrednio. Obiecuje kolejne informacje w miarę postępów dochodzenia.

Sprawa trafiła też do lokalnej polityki. Klub parlamentarny MAN-PIN chce zmienić krajowe rozporządzenie o grach hazardowych i przenieść infrastrukturę oraz dane systemu gier online z powrotem na wyspę, podaje Curaçao.nu. Klub zwrócił się o odłożenie debaty parlamentarnej nad tym aktem do czasu zakończenia postępowań dotyczących CGA.

Co to oznacza dla graczy

Opisane dotąd dokumenty dotyczą wnioskodawców, licencjobiorców i ich właścicieli. CGA nie poinformowała, by ucierpiały konta graczy kasyn, a dotychczasowe publikacje również nie opisują danych graczy. Dla graczy skutki są pośrednie: według FTM firmy z licencją z Curaçao prowadzą tysiące serwisów hazardowych, a wyciek wzmacnia stare pytanie o to, jak dokładnie sprawdza się ich właścicieli.

Licencja z Curaçao to nie to samo co licencja w twoim kraju. Zanim wpłacisz pieniądze, sprawdź, kto prowadzi kasyno i co mówi jego regulamin. Nasz poradnik o drobnym druku wyjaśnia, na co zwrócić uwagę. 18+. Jeśli gra przestaje być rozrywką, zajrzyj na naszą stronę o odpowiedzialnej grze.