Curaçaos spelmyndighet: licensportalen var öppen för en falsk identitet i nio månader

Curaçao Gaming Authority (CGA) har bekräftat att en utomstående hade tillgång till myndighetens licensportal på nätet i ungefär nio månader. I ett uppföljande uttalande daterat 22 september 2026 skriver myndigheten att åtkomsten skedde via portalens kunddel, den del som sökande och licenshavare använder. Det gick via ett konto som registrerats i december 2025 under falsk identitet. Åtkomsten pågick tills den upptäcktes och stängdes i september 2026.

Enligt CGA kombinerade kontot en variant av en verklig persons namn med ett bolag som finns i Curaçaos handelskammarregister. Myndigheten kallar åtkomsten ”ett allvarligt brott mot curaçaoisk lag” och säger att den kommer att rapportera händelsen till berörda myndigheter.

Från ”under kontroll” till nio månader

CGA gick först ut med händelsen den 17 september 2026. Då hette det att den obehöriga åtkomsten hade stoppats och källan identifierats, att tjänsteleverantören hade inlett en teknisk utredning och att inga tecken hittats på att myndighetens centrala tekniska infrastruktur komprometterats. Någon tidsperiod angavs inte.

Uppföljningen kom efter att den tyska säkerhetsforskaren Lilith Wittmann den 22 september publicerat sin egen redogörelse, tillsammans med den nederländska granskande plattformen Follow the Money (FTM) och andra europeiska mediepartner. CGA nämner inte hennes namn. Men myndigheten skriver att forskarens uppgifter om att ha kommit åt portalen och hämtat data om operatörer på Curaçao och interna CGA-dokument ”stämmer överens med den interna utredningen”.

Wittmann skriver att hon loggade in första gången den 3 december 2025 och att hålet täpptes till ungefär en halvtimme efter att hon skickat sina frågor till myndigheten runt klockan 22 den 17 september, samma dag som det första uttalandet. Tidpunkterna är hennes egna; CGA har inte publicerat några egna.

Vad läckan innehåller och vad CGA bekräftar

Enligt myndigheten är den fulla omfattningen av materialet som hämtades ännu inte fastställd. CGA säger att den ”inte kommer att upprepa siffror den inte kan verifiera”.

Rapporteringen hittills beskriver en stor mängd material. Enligt FTM kom Wittmann över tiotusentals konfidentiella dokument, bland annat licensansökningar, ägarnamn, myndighetens egna bedömningar, pass, deklarationer och ekonomiska uppgifter. Enligt FTM identifierar filerna ungefär 800 ägare till nästan 650 licensierade spelbolag. CGA har inte bekräftat de siffrorna.

FTM skriver också att licenser beviljades medan frågor om ägande eller pengarnas ursprung fortfarande var obesvarade. CGA bestred inte det inför FTM. Myndigheten hänvisade till en övergångsperiod där bolagen får tid att steg för steg uppfylla kraven i Curaçaos spellag från 2024. I uttalandet från den 22 september framhåller CGA att den sedan reformen inleddes har följt ”robusta interna rutiner” för due diligence, och att man inte bör dra slutsatser av enskilda dokument utan sammanhanget i varje ansökan.

Säkerhetsåtgärder och nästa steg

Sedan den 17 september har CGA enligt egen uppgift skärpt säkerheten både i backoffice och i portalens kundgränssnitt och installerat säkerhetsuppdateringar i mjukvaran. Licensierade nätoperatörer har informerats om ändringar de behöver göra på sin sida och uppmanats att genomföra dem så snart som möjligt.

Om utredningen visar att uppgifter om enskilda personer, sökande, licenshavare eller andra berörda kan ha påverkats säger CGA att de kommer att underrättas direkt. Myndigheten utlovar mer information i takt med att utredningen går framåt.

Händelsen har också nått lokalpolitiken. Partigruppen MAN-PIN i Curaçaos parlament vill ändra landets spelförordning och flytta nätspelsystemets infrastruktur och data tillbaka till ön, skriver Curaçao.nu. Gruppen har begärt att en parlamentsdebatt om förordningen skjuts upp tills utredningarna om CGA är klara.

Vad det betyder för spelare

Dokumenten som beskrivits hittills gäller sökande, licenshavare och deras ägare. CGA har inte sagt att casinospelares konton har påverkats, och rapporteringen beskriver inte heller några spelaruppgifter. För spelare är effekten indirekt: enligt FTM driver bolag med licens från Curaçao tusentals spelsajter, och läckan skärper den gamla frågan om hur noggrant deras ägare granskas.

En licens från Curaçao är inte samma sak som en licens i ditt eget land. Kontrollera innan du sätter in pengar vem som driver ett casino och vad som står i villkoren. Vår guide till det finstilta visar vad du ska titta efter. 18+. Om spelandet slutar vara roligt kan du läsa vår sida om ansvarsfullt spel.