Curaçaos spillemyndighed bekræfter ni måneders brud på spillelicensportalen

Curaçao Gaming Authority oplyste den 19. oktober 2026, at en sikkerhedsforsker fra Tyskland havde skaffet sig uautoriseret adgang til myndighedens portal til licensering af onlinespil mellem december 2025 og september 2026 og offentliggjort data og fortrolige oplysninger tilhørende licenshavere. En midlertidig erstatningsportal skulle efter planen lanceres samme dag.

I en pressemeddelelse oplyste myndigheden, at den den 17. september 2026 havde opdaget, at personen havde fået adgang til portalen uden den fornødne tilladelse med start i december 2025. Ifølge de gennemførte undersøgelser fandt den ulovlige adgang sted mellem december 2025 og september 2026 og berørte licensportalen og dens database, som blev administreret af en ekstern virksomhed.

CGA oplyste, at bruddet “skyldtes en persons kriminelle handlinger: Personen fik uautoriseret adgang til portalen og hentede oplysninger derfra”.

Reaktion på bruddet

Myndigheden oplyste, at den har indgivet klager og anmeldt hændelsen til myndighederne i Curaçao, Tyskland og Nederlandene. Den har også hyret specialiserede virksomheder til at fjerne de oplysninger, der er tilgængelige på internettet, og bestilt en uafhængig teknisk undersøgelse for at fastslå angrebets virkninger og konsekvenser. CGA oplyste, at den overvejer at anlægge et civilt søgsmål og fortsat er i regelmæssig kontakt med branchen.

Da bruddet blev opdaget i september, gennemførte CGA først en intern undersøgelse og styrkede sine sikkerhedsforanstaltninger. Derefter blev portalen taget offline, så en ekstern undersøgelse kunne gennemføres.

I sin udtalelse af 17. september 2026 oplyste CGA, at den uautoriserede adgang var blevet begrænset, og at kilden var blevet identificeret, samt at tjenesteudbyderen havde indledt en retsmedicinsk undersøgelse. Myndigheden oplyste, at undersøgelsen på det tidspunkt ikke havde identificeret tegn på kompromittering af myndighedens centrale tekniske infrastruktur, og at berørte parter ville blive underrettet direkte, hvis undersøgelsen fastslog, at deres oplysninger muligvis var blevet berørt.

Midlertidig portal erstatter det nedlagte system

Den 7. oktober 2026 meddelte CGA, at den permanent ville ophøre med at bruge den eksisterende licensportal og ikke længere benytte udbyderens regulatoriske tjenester. Myndigheden havde besluttet ikke at genåbne portalen, men i stedet indføre en midlertidig løsning.

Den midlertidige portal skulle efter planen lanceres den 19. oktober 2026 og understøtte den fortsatte behandling af licensansøgninger og andre tilsynssager, der blev håndteret via portalen. Licensregistret og systemet til digitale segl skulle også blive tilgængelige sammen med portalen; det digitale segl skal vise, at et websted har en CGA-licens.

CGA oplyste, at det interne system, det digitale segl og licensregistret var klar til sikkerhedskontrol udført af uafhængige specialister, mens der blev foretaget justeringer af klientportalen. Sikkerhedstest skulle følge, når justeringerne var gennemført. Forberedelserne omfatter også kontrol af sårbarheder, der kan gøre uautoriseret adgang mulig, samt kontrol af, at portalen fungerer korrekt for både brugere i branchen og CGA’s medarbejdere.

Myndigheden oplyste, at lukningen af den tidligere portal ikke gør eksisterende licenser ugyldige, og at virksomheder med en CGA-licens fortsat skal opfylde deres forpligtelser. Samtidig med lanceringen af den midlertidige portal forbereder CGA udviklingen og driften af en ny portal.

Reformen bag den eksterne portal

I 2023 indledte CGA, der dengang hed Gaming Control Board, en reform af onlinespilsektoren efter anvisning fra finansministeren. Indtil da havde tilsynet hovedsageligt fokuseret på lokale spilaktiviteter, herunder kasinoer, talspil, bingo og Bon Ku’né. Myndigheden oplyste, at Curaçao havde været udsat for betydelig international kritik af de online spilvirksomheders adfærd, når de drev virksomhed fra øen, og at et af reformens mål var at forbedre landets internationale omdømme.

CGA oplyste, at baggrunden for reformen blandt andet var aftaler med Nederlandene under Country Package, et stigende antal klager fra spillere og negativ medieomtale samt CFATF’s vurdering af Curaçao, som fandt sted i juni 2024. I andet halvår af 2023 besluttede Finansministeriet at indlede reformen frem for at vente på LOK, den nye spillelov, der trådte i kraft i december 2024.

Myndigheden oplyste, at den i første omgang inddrog eksterne parter med erfaring inden for teknologi, licensering og tilsyn og valgte en eksternt administreret portal til licensansøgninger og -godkendelser med henblik på senere at overgå til en internt administreret portal. CGA havde fortsat selv ansvaret for licensering og tilsyn.

Siden reformens begyndelse i 2024 har CGA ifølge myndigheden ansat 14 medarbejdere, hovedsageligt inden for licensering, tilsyn og håndhævelse, med det formål at opbygge ekspertise på Curaçao og gradvist mindske afhængigheden af eksterne rådgivere. Med LOK gik Curaçao væk fra systemet med hovedlicenser og underlicenser, og CGA fører nu direkte tilsyn med udbydere af onlinespil. Den 24. december 2026 nærmer LOK sig sit andet år.