L’autorité de Curaçao confirme une faille de neuf mois dans le portail des licences de jeux d’argent

Le 19 octobre 2026, la Curaçao Gaming Authority a déclaré qu’un chercheur en sécurité allemand avait accédé sans autorisation à son portail de licences de jeux d’argent en ligne entre décembre 2025 et septembre 2026, puis publié des données et des informations confidentielles appartenant aux titulaires de licences. Un portail de remplacement temporaire devait être mis en service le même jour.

Dans un communiqué de presse, l’autorité a indiqué avoir découvert, le 17 septembre 2026, que la personne avait accédé au portail sans autorisation appropriée à partir de décembre 2025. Selon les enquêtes menées, les accès illicites ont eu lieu entre décembre 2025 et septembre 2026 et ont touché le portail des licences ainsi que sa base de données, gérés par une société externe.

La CGA a déclaré que la faille « résultait d’un acte criminel commis par une personne qui avait accédé au portail sans autorisation et en avait extrait des informations ».

Mesures prises après la faille

L’autorité a déclaré avoir déposé des plaintes et signalé l’incident aux autorités de Curaçao, d’Allemagne et des Pays-Bas. Elle a également engagé des sociétés spécialisées pour supprimer les informations accessibles sur Internet et commandé une enquête technique indépendante afin d’établir l’impact et les conséquences de l’attaque. La CGA a indiqué qu’elle envisageait une action en justice civile et qu’elle restait en contact régulier avec le secteur.

Après la découverte de la faille en septembre, la CGA a d’abord mené une enquête interne et renforcé ses mesures de sécurité. Le portail a ensuite été mis hors ligne pour permettre une enquête externe.

Dans sa déclaration du 17 septembre 2026, la CGA a indiqué que l’accès non autorisé avait été circonscrit et que son origine avait été identifiée, et que son prestataire de services avait commencé une enquête informatique judiciaire. Elle a précisé qu’à ce stade, l’enquête n’avait révélé aucune compromission de l’infrastructure technique centrale de l’Autorité et que les parties concernées seraient informées directement si l’enquête établissait que leurs informations avaient pu être affectées.

Un portail temporaire remplace le système abandonné

Le 7 octobre 2026, la CGA a annoncé qu’elle cesserait définitivement d’utiliser le portail de licences existant et mettrait fin au recours aux services réglementaires du prestataire. L’autorité avait décidé de ne pas rouvrir le portail et de mettre en place une solution temporaire à la place.

Le portail temporaire devait être mis en service le 19 octobre 2026 afin d’assurer la poursuite du traitement des demandes de licence et des autres questions de supervision gérées par son intermédiaire. Le registre des licences et le système de sceau numérique devaient également être disponibles à son lancement. Ce sceau numérique vise à indiquer qu’un site Web détient une licence de la CGA.

La CGA a indiqué que le système interne, le sceau numérique et le registre des licences étaient prêts à être soumis à des contrôles de sécurité par des spécialistes indépendants, tandis que des ajustements étaient apportés au portail client. Des tests de sécurité seraient effectués une fois ces ajustements terminés. Les préparatifs comprennent également la recherche de failles susceptibles de permettre un accès non autorisé et la vérification du bon fonctionnement du portail, tant pour les utilisateurs du secteur que pour le personnel de la CGA.

L’autorité a déclaré que la fermeture de l’ancien portail n’invalidait pas les licences en vigueur et que les entreprises titulaires d’une licence de la CGA devaient continuer à respecter leurs obligations. Parallèlement à la mise en place du portail temporaire, la CGA se prépare à concevoir et à gérer un nouveau portail.

La réforme à l’origine du portail externe

En 2023, la CGA, alors connue sous le nom de Commission de contrôle des jeux, a entrepris de réformer le secteur des jeux d’argent en ligne sur instruction du ministre des Finances. Jusqu’alors, sa supervision portait principalement sur les activités de jeu locales, notamment les casinos, les jeux de chiffres, le bingo et Bon Ku’né. L’autorité a indiqué que Curaçao avait fait l’objet de vives critiques à l’échelle internationale concernant les pratiques des sociétés de jeux d’argent en ligne opérant depuis l’île et que l’amélioration de la réputation internationale du pays était l’un des objectifs de la réforme.

La CGA a indiqué que la réforme avait notamment été motivée par les accords conclus avec les Pays-Bas dans le cadre du Country Package, par l’augmentation du nombre de plaintes de joueurs et la couverture médiatique négative, ainsi que par l’évaluation de Curaçao menée par le CFATF en juin 2024. Au second semestre de 2023, le ministère des Finances a décidé d’engager la réforme sans attendre la LOK, la nouvelle loi sur les jeux d’argent entrée en vigueur en décembre 2024.

L’autorité a déclaré avoir d’abord fait appel à des intervenants externes possédant une expérience dans les domaines des technologies, des licences et de la supervision, puis choisi un portail géré par un prestataire externe pour les demandes de licence et les autorisations, avec l’intention de passer ultérieurement à un portail géré en interne. La CGA est elle-même restée responsable des licences et de la supervision.

Depuis le début de la réforme en 2024, la CGA a recruté 14 employés, principalement affectés aux licences, à la supervision et à l’application de la réglementation, dans le but de développer les compétences à Curaçao et de réduire progressivement le recours à des conseillers externes. Avec la LOK, Curaçao a abandonné le système de licences principales et de sous-licences, et la CGA supervise directement les opérateurs de jeux d’argent en ligne. La LOK approchera de son deuxième anniversaire le 24 décembre 2026.