Curaçaos tillsynsmyndighet bekräftar nio månader långt intrång i spellicensportalen

Curaçao Gaming Authority uppgav den 19 oktober 2026 att en säkerhetsforskare från Tyskland utan tillstånd hade fått åtkomst till myndighetens licensportal för onlinespel mellan december 2025 och september 2026 och publicerat uppgifter och konfidentiell information som tillhörde licensinnehavare. En tillfällig ersättningsportal skulle lanseras samma dag.

I ett pressmeddelande uppgav tillsynsmyndigheten att den den 17 september 2026 upptäckte att personen hade fått åtkomst till portalen utan giltigt tillstånd, med start i december 2025. Enligt de genomförda utredningarna ägde den olovliga åtkomsten rum mellan december 2025 och september 2026 och påverkade licensportalen och dess databas, som förvaltades av ett externt företag.

CGA uppgav att intrånget ”var ett resultat av brottsligt agerande från en person som fick åtkomst till portalen utan tillstånd och hämtade information därifrån”.

Åtgärder efter intrånget

Tillsynsmyndigheten uppgav att den har lämnat in klagomål och rapporterat händelsen till myndigheter i Curaçao, Tyskland och Nederländerna. Den har också anlitat specialistföretag för att ta bort information som finns tillgänglig på internet och beställt en oberoende teknisk utredning för att fastställa attackens omfattning och konsekvenser. CGA uppgav att den överväger att vidta civilrättsliga åtgärder och har regelbunden kontakt med branschen.

När intrånget upptäcktes i september genomförde CGA först en intern utredning och stärkte sina säkerhetsåtgärder. Därefter togs portalen offline för en extern utredning.

I sitt uttalande den 17 september 2026 uppgav CGA att den obehöriga åtkomsten hade begränsats och att källan hade identifierats, samt att tjänsteleverantören hade inlett en forensisk utredning. Myndigheten uppgav att utredningen då inte hade visat på något intrång i myndighetens centrala tekniska infrastruktur och att berörda parter skulle underrättas direkt om utredningen visade att deras uppgifter kunde ha påverkats.

Tillfällig portal ersätter det avvecklade systemet

Den 7 oktober 2026 meddelade CGA att den permanent skulle sluta använda den befintliga licensportalen och upphöra med att använda leverantörens tillsynstjänster. Tillsynsmyndigheten hade beslutat att inte öppna portalen igen, utan i stället införa en tillfällig lösning.

Den tillfälliga portalen skulle lanseras den 19 oktober 2026 och möjliggöra fortsatt hantering av licensansökningar och andra tillsynsärenden som sköttes via portalen. Licensregistret och systemet för digitala sigill skulle också bli tillgängliga där. Det digitala sigillet är avsett att visa att en webbplats har en CGA-licens.

CGA uppgav att det interna systemet, det digitala sigillet och licensregistret var redo för säkerhetskontroller av oberoende specialister, medan justeringar gjordes i klientportalen. Säkerhetstester skulle genomföras när justeringarna var klara. Förberedelserna omfattar också kontroller av sårbarheter som skulle kunna möjliggöra obehörig åtkomst, samt kontroller av att portalen fungerar som den ska för både branschens användare och CGA:s personal.

Tillsynsmyndigheten uppgav att stängningen av den tidigare portalen inte gör befintliga licenser ogiltiga och att företag med en CGA-licens måste fortsätta att uppfylla sina skyldigheter. Parallellt med den tillfälliga portalen förbereder CGA utvecklingen och förvaltningen av en ny portal.

Reformen bakom den externa portalen

År 2023 inledde CGA, som då hette spelkontrollmyndigheten, en reform av sektorn för onlinespel på uppdrag av finansministern. Fram till dess hade tillsynen främst varit inriktad på lokal spelverksamhet, däribland kasinon, nummerspel, bingo och Bon Ku’né. Tillsynsmyndigheten uppgav att Curaçao hade fått betydande internationell kritik för hur företag inom onlinespel som verkade från ön bedrev sin verksamhet, och att ett av reformens mål var att förbättra landets internationella anseende.

CGA uppgav att faktorer bakom reformen var överenskommelser med Nederländerna inom ramen för landspaketet, ett växande antal klagomål från spelare och negativ mediebevakning, samt CFATF:s utvärdering av Curaçao i juni 2024. Under andra halvåret 2023 beslutade finansministeriet att inleda reformen i stället för att invänta LOK, den nya spellag som trädde i kraft i december 2024.

Tillsynsmyndigheten uppgav att den till en början tog in externa aktörer med erfarenhet av teknik, licensiering och tillsyn och valde en externt förvaltad portal för licensansökningar och godkännanden. Avsikten var att senare övergå till en internt förvaltad portal. CGA ansvarade hela tiden själv för licensiering och tillsyn.

Sedan reformen inleddes 2024 har CGA anställt 14 medarbetare, främst inom licensiering, tillsyn och efterlevnadskontroll, i syfte att bygga upp kompetens på Curaçao och gradvis minska beroendet av externa rådgivare. Genom LOK övergav Curaçao systemet med huvudlicenser och underlicenser, och CGA utövar nu direkt tillsyn över operatörer inom onlinespel. Den 24 december 2026 närmar sig LOK sin tvåårsdag.