Curaçaon viranomainen vahvistaa rahapelilisenssiportaalin yhdeksän kuukautta kestäneen tietomurron

Curaçaon rahapeliviranomainen kertoi 19. lokakuuta 2026, että saksalainen tietoturvatutkija oli käyttänyt sen verkossa toimivaa rahapelilisenssien hakemusportaalia ilman lupaa joulukuun 2025 ja syyskuun 2026 välisenä aikana ja julkaissut lisenssinhaltijoille kuuluvia tietoja ja luottamuksellisia tietoja. Viranomainen kertoi myös, että väliaikaisen korvaavan portaalin oli määrä avautua samana päivänä.

Tiedotteessaan viranomainen kertoi havainneensa 17. syyskuuta 2026, että henkilö oli päässyt portaaliin ilman asianmukaista lupaa joulukuusta 2025 alkaen. Tehtyjen selvitysten mukaan luvaton käyttö tapahtui joulukuun 2025 ja syyskuun 2026 välisenä aikana ja kohdistui lisenssiportaaliin ja sen tietokantaan, joita hallinnoi ulkopuolinen yritys.

CGA:n mukaan tietomurto ”johtui rikollisesta toiminnasta: henkilö pääsi portaaliin ilman lupaa ja vei sieltä tietoja”.

Toimet tietomurron jälkeen

Viranomainen kertoi jättäneensä valituksia ja ilmoittaneensa tapauksesta Curaçaon, Saksan ja Alankomaiden viranomaisille. Se on myös palkannut asiantuntijayrityksiä poistamaan internetissä saatavilla olevia tietoja ja tilannut riippumattoman teknisen tutkinnan hyökkäyksen vaikutusten ja seurausten selvittämiseksi. CGA kertoi harkitsevansa siviilioikeudellisia toimia ja pitävänsä säännöllisesti yhteyttä alan toimijoihin.

Kun tietomurto havaittiin syyskuussa, CGA teki ensin sisäisen tutkinnan ja vahvisti tietoturvatoimiaan. Sen jälkeen portaali suljettiin ulkopuolista tutkintaa varten.

17. syyskuuta 2026 päivätyssä lausunnossaan CGA kertoi, että luvaton pääsy oli saatu hallintaan ja sen lähde tunnistettu ja että sen palveluntarjoaja oli aloittanut rikosteknisen tutkinnan. Viranomaisen mukaan tutkinnassa ei ollut tuolloin havaittu sen keskeisen teknisen infrastruktuurin vaarantumista. Se kertoi myös, että tutkinnan perusteella mahdollisesti vaikutuksen kohteeksi joutuneille ilmoitettaisiin asiasta suoraan.

Väliaikainen portaali korvaa käytöstä poistetun järjestelmän

CGA ilmoitti 7. lokakuuta 2026 lopettavansa nykyisen lisenssiportaalin käytön pysyvästi ja päättävänsä palveluntarjoajan sääntelypalveluiden käytön. Viranomainen oli päättänyt olla avaamatta portaalia uudelleen ja ottaa sen sijaan käyttöön väliaikaisen ratkaisun.

Väliaikaisen portaalin oli määrä avautua 19. lokakuuta 2026. Sen avulla oli tarkoitus jatkaa lisenssihakemusten ja muiden portaalin kautta hoidettavien valvonta-asioiden käsittelyä. Myös lisenssirekisterin ja digitaalisen sinettijärjestelmän oli määrä tulla käyttöön portaalin yhteydessä. Digitaalisella sinetillä on tarkoitus osoittaa, että verkkosivustolla on CGA:n myöntämä lisenssi.

CGA kertoi, että sisäinen järjestelmä, digitaalinen sinetti ja lisenssirekisteri olivat valmiita riippumattomien asiantuntijoiden tietoturvatarkastuksiin. Asiakasportaaliin tehtiin vielä muutoksia, ja sen tietoturvatestaus oli määrä tehdä, kun muutokset olisi saatu valmiiksi. Valmisteluihin kuuluu myös sellaisten haavoittuvuuksien tarkistaminen, jotka voisivat mahdollistaa luvattoman pääsyn, sekä sen varmistaminen, että portaali toimii asianmukaisesti sekä alan käyttäjille että CGA:n henkilöstölle.

Viranomaisen mukaan vanhan portaalin sulkeminen ei mitätöi voimassa olevia lisenssejä, ja CGA:n lisenssin haltijoina olevien yritysten on edelleen täytettävä velvoitteensa. Väliaikaisen portaalin rinnalla CGA valmistelee uuden portaalin kehittämistä ja hallinnointia.

Ulkopuolisen portaalin taustalla oleva uudistus

Vuonna 2023 CGA, joka tunnettiin tuolloin nimellä rahapelivalvontalautakunta, aloitti verkossa tapahtuvan rahapelaamisen alan uudistamisen valtiovarainministerin ohjeiden mukaisesti. Sitä ennen sen valvonta oli keskittynyt pääasiassa paikalliseen rahapelitoimintaan, kuten kasinoihin, numeropelien pelaamiseen, Bingoon ja Bon Ku’néehen. Viranomaisen mukaan Curaçao oli saanut huomattavaa kansainvälistä arvostelua saarella toimivien verkossa rahapelejä tarjoavien yritysten toiminnasta, ja maan kansainvälisen maineen parantaminen oli yksi uudistuksen tavoitteista.

CGA kertoi, että uudistukseen vaikuttaneita tekijöitä olivat Alankomaiden kanssa tehdyt Country Package -sopimukset, pelaajien valitusten lisääntyminen ja kielteinen mediahuomio sekä Curaçaossa kesäkuussa 2024 tehty CFATF-arviointi. Valtiovarainministeriö päätti vuoden 2023 jälkipuoliskolla aloittaa uudistuksen odottamatta LOK-lakia, uutta rahapelilakia, joka tuli voimaan joulukuussa 2024.

Viranomaisen mukaan se toi aluksi mukaan ulkopuolisia tahoja, joilla oli kokemusta teknologiasta, lisensoinnista ja valvonnasta, ja valitsi ulkopuolisesti hallinnoidun portaalin lisenssihakemusten ja hyväksyntöjen käsittelyyn. Tarkoituksena oli siirtyä myöhemmin sisäisesti hallinnoituun portaaliin. Lisensoinnista ja valvonnasta vastasi edelleen CGA itse.

CGA kertoi palkanneensa uudistuksen vuonna 2024 alkamisesta lähtien 14 työntekijää, pääasiassa lisensointiin, valvontaan ja täytäntöönpanoon, tavoitteenaan vahvistaa Curaçaon omaa asiantuntemusta ja vähentää vähitellen riippuvuutta ulkopuolisista neuvonantajista. LOK-lain myötä Curaçao luopui päälisenssi- ja alilisenssijärjestelmästä, ja CGA valvoo nyt suoraan verkossa toimivia rahapeliyhtiöitä. LOK-lain toinen vuosipäivä lähestyy 24. joulukuuta 2026.