Curaçaos spillmyndighet bekrefter ni måneder langt sikkerhetsbrudd i lisensportalen for pengespill

Curaçao Gaming Authority opplyste 19. oktober 2026 at en sikkerhetsforsker fra Tyskland hadde fått uautorisert tilgang til lisensportalen for pengespill på nettet mellom desember 2025 og september 2026 og publisert data og konfidensiell informasjon som tilhørte lisensinnehavere. En midlertidig erstatningsportal skulle etter planen lanseres samme dag.

I en pressemelding opplyste tilsynsmyndigheten at den 17. september 2026 oppdaget at personen hadde fått tilgang til portalen uten tillatelse fra og med desember 2025. Ifølge undersøkelsene fant den ulovlige tilgangen sted mellom desember 2025 og september 2026 og berørte lisensportalen og databasen dens, som ble administrert av et eksternt selskap.

CGA opplyste at sikkerhetsbruddet «var et resultat av kriminelle handlinger begått av en person som fikk uautorisert tilgang til portalen og hentet ut informasjon fra den».

Tiltak etter sikkerhetsbruddet

Tilsynsmyndigheten opplyste at den har levert inn klager og meldt hendelsen til myndighetene i Curaçao, Tyskland og Nederland. Den har også engasjert spesialistselskaper for å fjerne informasjonen som er tilgjengelig på internett, og bestilt en uavhengig teknisk undersøkelse for å fastslå angrepets omfang og konsekvenser. CGA opplyste at den vurderer å gå til sivilt søksmål og fortsatt har jevnlig kontakt med bransjen.

Da sikkerhetsbruddet ble oppdaget i september, gjennomførte CGA først en intern undersøkelse og styrket sikkerhetstiltakene sine. Deretter ble portalen tatt ned for en ekstern undersøkelse.

I sin uttalelse 17. september 2026 opplyste CGA at den uautoriserte tilgangen var blitt stanset, at kilden var identifisert, og at tjenesteleverandøren hadde satt i gang en rettsteknisk undersøkelse. Myndigheten opplyste at undersøkelsen på det tidspunktet ikke hadde avdekket tegn til at myndighetens sentrale tekniske infrastruktur var kompromittert, og at berørte parter ville bli varslet direkte dersom undersøkelsen viste at informasjonen deres kan ha blitt berørt.

Midlertidig portal erstatter det nedlagte systemet

7. oktober 2026 kunngjorde CGA at den ville slutte å bruke den eksisterende lisensportalen for godt og avslutte bruken av leverandørens regulatoriske tjenester. Tilsynsmyndigheten hadde besluttet ikke å åpne portalen igjen, men i stedet ta i bruk en midlertidig løsning.

Den midlertidige portalen skulle etter planen lanseres 19. oktober 2026 og legge til rette for fortsatt behandling av lisenssøknader og andre tilsynssaker som ble håndtert gjennom portalen. Lisensregisteret og det digitale seglsystemet skulle også bli tilgjengelige sammen med den midlertidige portalen. Det digitale seglet skal vise at et nettsted har lisens fra CGA.

CGA opplyste at det interne systemet, det digitale seglet og lisensregisteret var klare for sikkerhetskontroller utført av uavhengige spesialister, samtidig som det ble gjort justeringer i kundeportalen. Sikkerhetstesting skulle følge når disse var fullført. Forberedelsene omfatter også kontroller for sårbarheter som kan åpne for uautorisert tilgang, og undersøkelser av om portalen fungerer som den skal for både aktører i bransjen og CGAs ansatte.

Tilsynsmyndigheten opplyste at nedleggelsen av den forrige portalen ikke gjør eksisterende lisenser ugyldige, og at selskaper med lisens fra CGA fortsatt må oppfylle forpliktelsene sine. Parallelt med den midlertidige portalen forbereder CGA utviklingen og driften av en ny portal.

Reformen bak den eksterne portalen

I 2023 startet CGA, som da var kjent som Kontrollnemnda for pengespill, en reform av sektoren for pengespill på nettet etter instruks fra finansministeren. Fram til da hadde tilsynet hovedsakelig vært rettet mot lokale pengespillaktiviteter, blant annet kasinoer, tallspill, bingo og Bon Ku’né. Tilsynsmyndigheten opplyste at Curaçao hadde møtt betydelig internasjonal kritikk for virksomheten til selskaper innen pengespill på nettet som opererte fra øya, og at et av målene med reformen var å styrke landets internasjonale omdømme.

CGA opplyste at bakgrunnen for reformen blant annet var avtaler med Nederland innenfor rammen av Country Package, et økende antall spillerklager og negativ medieomtale, samt CFATFs evaluering av Curaçao i juni 2024. I andre halvdel av 2023 besluttet Finansdepartementet å sette i gang reformen i stedet for å vente på LOK, den nye pengespilloven som trådte i kraft i desember 2024.

Tilsynsmyndigheten opplyste at den først hentet inn eksterne aktører med erfaring innen teknologi, lisensiering og tilsyn, og valgte en eksternt administrert portal for lisenssøknader og godkjenninger. Planen var å gå over til en internt administrert portal på et senere tidspunkt. CGA hadde selv fortsatt ansvaret for lisensiering og tilsyn.

Siden reformen startet i 2024, har CGA ansatt 14 medarbeidere, hovedsakelig innen lisensiering, tilsyn og håndheving, med mål om å bygge opp kompetanse på Curaçao og gradvis redusere avhengigheten av eksterne rådgivere. Med LOK gikk Curaçao bort fra systemet med hovedlisenser og underlisenser, og CGA fører nå direkte tilsyn med aktører innen pengespill på nettet. LOK nærmer seg toårsdagen 24. desember 2026.