Toezichthouder van Curaçao bevestigt dat het portaal voor kansspelvergunningen negen maanden lang is geschonden

De Curaçao Gaming Authority meldde op 19 oktober 2026 dat een beveiligingsonderzoeker uit Duitsland tussen december 2025 en september 2026 zonder toestemming toegang had gekregen tot het online portaal voor kansspelvergunningen en gegevens en vertrouwelijke informatie van vergunninghouders had gepubliceerd. Ook meldde de autoriteit dat er diezelfde dag een tijdelijk vervangend portaal in gebruik zou worden genomen.

In een persbericht meldde de toezichthouder dat hij op 17 september 2026 had ontdekt dat de persoon vanaf december 2025 zonder de vereiste toestemming toegang tot het portaal had gekregen. Uit de uitgevoerde onderzoeken bleek dat de onrechtmatige toegang plaatsvond tussen december 2025 en september 2026 en gevolgen had voor het vergunningenportaal en de bijbehorende database, die door een extern bedrijf werden beheerd.

De CGA zei dat het datalek „het gevolg was van crimineel handelen door iemand die zonder toestemming toegang kreeg tot het portaal en daar informatie uit meenam”.

Reactie op het datalek

De toezichthouder meldde dat hij aangifte heeft gedaan en het incident heeft gemeld bij de autoriteiten in Curaçao, Duitsland en Nederland. Ook heeft hij gespecialiseerde bedrijven ingeschakeld om de informatie die online beschikbaar is te verwijderen en opdracht gegeven tot een onafhankelijk technisch onderzoek naar de impact en gevolgen van de aanval. De CGA zei civielrechtelijke stappen te overwegen en regelmatig contact te onderhouden met de sector.

Toen het datalek in september werd ontdekt, voerde de CGA eerst een intern onderzoek uit en verscherpte hij de beveiligingsmaatregelen. Vervolgens werd het portaal offline gehaald voor extern onderzoek.

In zijn verklaring van 17 september 2026 meldde de CGA dat de ongeoorloofde toegang was ingedamd en de bron ervan was vastgesteld, en dat de dienstverlener een forensisch onderzoek was gestart. Volgens de CGA had het onderzoek op dat moment geen aanwijzingen opgeleverd dat de kerntechnische infrastructuur van de autoriteit was aangetast. Betrokken partijen zouden rechtstreeks worden geïnformeerd als uit het onderzoek bleek dat hun informatie mogelijk was geraakt.

Tijdelijk portaal vervangt buiten gebruik gesteld systeem

Op 7 oktober 2026 kondigde de CGA aan het bestaande vergunningenportaal definitief niet meer te gebruiken en de regelgevingsdiensten van de aanbieder niet langer af te nemen. De toezichthouder had besloten het portaal niet opnieuw te openen en in plaats daarvan een tijdelijke oplossing in gebruik te nemen.

Het tijdelijke portaal zou op 19 oktober 2026 in gebruik worden genomen en zou de verdere afhandeling mogelijk maken van vergunningaanvragen en andere toezichtzaken die via het portaal werden beheerd. Ook het vergunningenregister en het digitale zegelsysteem zouden dan beschikbaar komen. Het digitale zegel is bedoeld om aan te geven dat een website een CGA-vergunning heeft.

De CGA meldde dat het interne systeem, het digitale zegel en het vergunningenregister klaar waren voor beveiligingscontroles door onafhankelijke specialisten. Ondertussen werden aanpassingen gedaan aan het klantenportaal; zodra die zijn afgerond, volgen beveiligingstests. De voorbereidingen omvatten ook controles op kwetsbaarheden die ongeoorloofde toegang mogelijk zouden kunnen maken, en tests om na te gaan of het portaal goed werkt voor zowel gebruikers in de sector als medewerkers van de CGA.

De toezichthouder meldde dat het sluiten van het vorige portaal bestaande vergunningen niet ongeldig maakt en dat bedrijven met een CGA-vergunning aan hun verplichtingen moeten blijven voldoen. Naast het tijdelijke portaal bereidt de CGA de ontwikkeling en het beheer van een nieuw portaal voor.

De hervorming achter het externe portaal

In 2023 begon de CGA, toen bekend als de Raad voor Kansspelcontrole, op aanwijzing van de minister van Financiën met de hervorming van de onlinekansspelsector. Tot dan toe was het toezicht vooral gericht op lokale kansspelactiviteiten, waaronder casino’s, getallenspelen, bingo en Bon Ku’né. De toezichthouder zei dat Curaçao internationaal veel kritiek had gekregen op het gedrag van onlinekansspelbedrijven die vanaf het eiland opereerden, en dat het verbeteren van de internationale reputatie van het land een van de doelen van de hervorming was.

Volgens de CGA waren de afspraken met Nederland in het kader van het Country Package, het groeiende aantal klachten van spelers en negatieve berichtgeving in de media factoren achter de hervorming, evenals de beoordeling van Curaçao door de CFATF in juni 2024. In de tweede helft van 2023 besloot het ministerie van Financiën de hervorming in gang te zetten en niet te wachten op de LOK, de nieuwe kansspelwet die in december 2024 van kracht werd.

De toezichthouder meldde dat hij aanvankelijk externe partijen met ervaring op het gebied van technologie, vergunningverlening en toezicht had ingeschakeld. Ook koos hij voor een extern beheerd portaal voor vergunningaanvragen en -goedkeuringen, met de bedoeling later over te stappen op een intern beheerd portaal. De CGA bleef zelf verantwoordelijk voor de vergunningverlening en het toezicht.

Sinds de start van de hervorming in 2024 heeft de CGA volgens eigen zeggen 14 medewerkers aangenomen, voornamelijk voor vergunningverlening, toezicht en handhaving, met als doel expertise op Curaçao op te bouwen en de afhankelijkheid van externe adviseurs geleidelijk te verminderen. Met de LOK stapte Curaçao af van het systeem van masterlicenties en sublicenties en houdt de CGA rechtstreeks toezicht op onlinekansspelaanbieders. Op 24 december 2026 is het twee jaar geleden dat de LOK van kracht werd.