Curaçao schrapt gehackt vergunningportaal, mist deadline update

Geen portaal en geen tijdelijk plan

De Curaçao Gaming Authority (CGA) maakte op 7 oktober bekend dat haar online kansspelportaal „niet weer in gebruik zal worden genomen“ en dat de „bijbehorende dienstverleningsregelingen ter ondersteuning van het platform“ daarmee zouden worden beëindigd. De toezichthouder prees het portaal omdat het sinds 2024 de hervorming van de online kansspelsector op Curaçao heeft ondersteund. In de praktijk was dit de website waar bedrijven een Curaçaose vergunning aanvroegen en de documenten uploadden die de toezichthouder beoordeelt – van eigendomsgegevens tot nalevingsbeleid – en het systeem waaruit de gelekte bestanden afkomstig waren. Volgens een bericht van 2 oktober was het portaal al offline.

Vergunningverlening, naleving en toezicht „zullen via alternatieve regelingen worden voortgezet terwijl een tijdelijke oplossing wordt geïmplementeerd“, aldus de CGA, waarbij details „momenteel zijn gepland voor uiterlijk 9 oktober 2026“. Vanaf dinsdagochtend UTC stond er op de nieuwspagina van de toezichthouder niets meer vermeld na de aankondiging van 7 oktober. In de mededeling van 2 oktober werd exploitanten gevraagd geen documenten die voor het portaal bestemd waren per e-mail te versturen, omdat „dergelijke inzendingen op dit moment niet via alternatieve kanalen kunnen worden verwerkt“, en werden de indieningstermijnen voor het portaal uitgesteld totdat het portaal weer beschikbaar zou zijn, wat de CGA inmiddels heeft afgewezen.

De CGA verklaarde dat de „beschikbaarheid van het huidige digitale zegel zal worden beïnvloed“ en dat zij „binnenkort een alternatief mechanisme zal introduceren“ waarmee exploitanten kunnen aantonen dat een domein over een vergunning beschikt. Dinsdagochtend werd de certificaatpagina achter het zegel van cryptocasino Shuffle nog steeds geladen en werd de Curaçao-vergunning als actief vermeld. De toezichthouder zegt dat bestaande vergunningen geldig blijven en dat de verplichtingen van exploitanten ongewijzigd zijn. Het zegel is een badge die casino’s met een vergunning, zoals Shuffle, op hun websites weergeven. Deze linkt naar een certificaatpagina op de website van de toezichthouder waarop de naam van het bedrijf achter de site, het vergunningsnummer en de status daarvan, en de andere domeinen die het beheert, worden vermeld, zodat bezoekers kunnen controleren of een casino over een vergunning beschikt.

De CGA maakte op 17 september bekend dat er ongeoorloofde toegang tot het portaal had plaatsgevonden. In een vervolgbericht van 22 september meldde de CGA dat een Duitse beveiligingsonderzoeker via een in december 2025 onder een valse identiteit geregistreerd account toegang had verkregen en deze toegang tot september had behouden. De CGA noemde dit „een ernstige inbreuk volgens de Curaçaose wetgeving“ en verklaarde dat het dit zou melden aan de relevante autoriteiten. De autoriteit verklaarde tevens dat zij „geen cijfers zal herhalen die zij niet kan verifiëren“ met betrekking tot wat er precies is buitgemaakt.

Hacker Lilith Wittmann heeft meer dan 40.000 documenten van het portaal gepubliceerd als onderdeel van het „Casino Secrets“-lek, dat onder andere een overeenkomst over het delen van inkomsten aan het licht bracht tussen SIS, de leverancier van content voor Britse bookmakers, en Santeda, de exploitant van Mystake. Follow the Money, dat samen met Europese mediapartners het hoofdonderzoek naar de bestanden publiceerde, zei dat het ongeveer 800 eigenaren van bijna 650 bedrijven met een Curaçaose vergunning had geïdentificeerd. In een afzonderlijke zaak verklaarde Wittmann in september dat een Berlijnse rechtbank haar in het gelijk had gesteld tegen de Malta Gaming Authority, die een voorlopige voorziening tegen haar had verkregen nadat zij in maart inbreuk had gemaakt op de systemen van de autoriteit. Volgens haar mag zij de documenten van Malta blijven gebruiken, maar mag zij geen toegang meer krijgen tot de systemen.