Regulator Curaçao potwierdza dziewięciomiesięczne naruszenie bezpieczeństwa portalu licencyjnego dla branży hazardowej

Curaçao Gaming Authority poinformowała 19 października 2026 r., że badacz bezpieczeństwa z Niemiec uzyskał bez upoważnienia dostęp do internetowego portalu licencyjnego dla branży hazardowej w okresie od grudnia 2025 r. do września 2026 r. oraz opublikował dane i poufne informacje należące do posiadaczy licencji. Tego samego dnia miał zostać uruchomiony tymczasowy portal zastępczy.

W komunikacie prasowym regulator poinformował, że 17 września 2026 r. odkrył, iż osoba ta uzyskała dostęp do portalu bez odpowiedniego upoważnienia, począwszy od grudnia 2025 r. Z przeprowadzonych dochodzeń wynika, że bezprawny dostęp miał miejsce w okresie od grudnia 2025 r. do września 2026 r. i objął portal licencyjny oraz jego bazę danych, którymi zarządzała zewnętrzna firma.

CGA poinformowała, że naruszenie „było wynikiem przestępczego działania osoby, która uzyskała dostęp do portalu bez upoważnienia i zabrała z niego informacje”.

Reakcja na naruszenie

Regulator poinformował, że złożył zawiadomienia i zgłosił incydent odpowiednim organom w Curaçao, Niemczech i Holandii. Zatrudnił również wyspecjalizowane firmy, które mają usunąć informacje dostępne w internecie, oraz zlecił niezależne dochodzenie techniczne, aby ustalić zasięg i skutki ataku. CGA poinformowała, że rozważa podjęcie kroków prawnych na drodze cywilnej i pozostaje w regularnym kontakcie z branżą.

Po wykryciu naruszenia we wrześniu CGA najpierw przeprowadziła wewnętrzne dochodzenie i wzmocniła środki bezpieczeństwa. Następnie portal wyłączono, aby umożliwić przeprowadzenie zewnętrznego dochodzenia.

W oświadczeniu z 17 września 2026 r. CGA poinformowała, że nieuprawniony dostęp został opanowany, a jego źródło zidentyfikowane, zaś usługodawca rozpoczął dochodzenie informatyczne. Dodała, że na tym etapie dochodzenie nie wykazało naruszenia podstawowej infrastruktury technicznej Urzędu. Osoby, których dotyczy sprawa, miały zostać powiadomione bezpośrednio, jeśli w toku dochodzenia ustalono by, że ich informacje mogły zostać objęte naruszeniem.

Tymczasowy portal zastępuje wycofany system

7 października 2026 r. CGA ogłosiła, że na stałe zaprzestanie korzystania z dotychczasowego portalu licencyjnego i zakończy korzystanie z usług regulacyjnych świadczonych przez usługodawcę. Regulator podjął decyzję, że nie wznowi działania portalu, lecz wdroży rozwiązanie tymczasowe.

Tymczasowy portal miał zostać uruchomiony 19 października 2026 r. i umożliwić dalszą obsługę wniosków licencyjnych oraz innych spraw nadzorczych prowadzonych za jego pośrednictwem. Wraz z nim miały być dostępne również rejestr licencji i system cyfrowej pieczęci. Cyfrowa pieczęć ma potwierdzać, że dana strona internetowa posiada licencję CGA.

CGA poinformowała, że system wewnętrzny, cyfrowa pieczęć i rejestr licencji były gotowe do kontroli bezpieczeństwa przeprowadzanych przez niezależnych specjalistów, a w portalu klienta wprowadzano poprawki. Testy bezpieczeństwa miały się odbyć po ich zakończeniu. Przygotowania obejmują również sprawdzenie, czy nie ma luk umożliwiających nieuprawniony dostęp, oraz czy portal działa prawidłowo zarówno dla użytkowników z branży, jak i pracowników CGA.

Regulator poinformował, że zamknięcie poprzedniego portalu nie unieważnia istniejących licencji, a firmy posiadające licencję CGA muszą nadal wywiązywać się ze swoich obowiązków. Równolegle z uruchomieniem portalu tymczasowego CGA przygotowuje się do opracowania i zarządzania nowym portalem.

Reforma, która doprowadziła do powstania portalu zewnętrznego

W 2023 r. CGA, znana wówczas jako Rada ds. Kontroli Gier Hazardowych, rozpoczęła reformę sektora hazardu online na polecenie Ministra Finansów. Do tego czasu jej nadzór koncentrował się głównie na lokalnej działalności hazardowej, w tym kasynach, grach liczbowych, bingo i Bon Ku’né. Regulator poinformował, że Curaçao spotkało się ze znaczną krytyką międzynarodową w związku z działalnością firm hazardowych online operujących z wyspy, a poprawa międzynarodowej reputacji kraju była jednym z celów reformy.

CGA poinformowała, że do czynników stojących za reformą należały porozumienia z Holandią w ramach Country Package, rosnąca liczba skarg graczy i negatywne relacje w mediach, a także ocena Curaçao przeprowadzona przez CFATF w czerwcu 2024 r. W drugiej połowie 2023 r. Ministerstwo Finansów postanowiło rozpocząć reformę, zamiast czekać na LOK, nową ustawę hazardową, która weszła w życie w grudniu 2024 r.

Regulator poinformował, że początkowo zaangażował podmioty zewnętrzne mające doświadczenie w technologii, licencjonowaniu i nadzorze oraz wybrał portal zarządzany z zewnątrz do obsługi wniosków licencyjnych i zatwierdzeń, z zamiarem przejścia na portal zarządzany wewnętrznie na późniejszym etapie. Sama CGA nadal odpowiadała za licencjonowanie i nadzór.

CGA poinformowała, że od rozpoczęcia reformy w 2024 r. zatrudniła 14 pracowników, głównie do zadań związanych z licencjonowaniem, nadzorem i egzekwowaniem przepisów, aby rozwijać specjalistyczną wiedzę na Curaçao i stopniowo ograniczać zależność od zewnętrznych doradców. Na mocy LOK Curaçao odeszło od systemu licencji głównej i sublicencji, a CGA sprawuje bezpośredni nadzór nad operatorami hazardu online. 24 grudnia 2026 r. LOK będzie obchodzić drugą rocznicę wejścia w życie.