Curaçao skroter lisensportal etter datainnbrudd
Curaçao Gaming Authority (CGA) legger permanent ned lisensportalen som ble rammet av et alvorlig datainnbrudd. Tilsynet avslutter samtidig bruken av den eksterne leverandørens regulatoriske tjenester og vil utvikle en ny portal som skal drives internt.
Inntrengningen ble oppdaget 17. september 2026. I en redegjørelse om datainnbruddet opplyser CGA at en sikkerhetsforsker fra Tyskland skal ha hatt uautorisert tilgang fra desember 2025 til september 2026. Personopplysninger og annen fortrolig informasjon om lisenshavere ble ifølge tilsynet hentet ut og publisert.
Den gamle portalen kommer ikke tilbake
Den berørte portalen og databasen ble drevet av et eksternt selskap. CGA undersøkte først hendelsen internt og styrket sikkerheten, før systemet ble tatt helt ned for en ekstern gjennomgang.
Den 7. oktober kunngjorde tilsynet at portalen ikke skulle settes i drift igjen. Lisensbehandling, kontroll og øvrige tilsynsoppgaver skulle fortsette gjennom alternative løsninger mens en midlertidig portal ble forberedt.
Nedstengingen gjør ikke en eksisterende Curaçao-lisens ugyldig. Lisensierte selskaper må fortsatt følge vilkårene og rapporteringspliktene som gjelder for dem.
Midlertidig løsning skulle åpne 19. oktober
CGA oppga 19. oktober at den midlertidige portalen var planlagt satt i drift samme dag. Den skal brukes til videre behandling av søknader og andre tilsynssaker, mens lisensregisteret og det digitale lisensmerket også skal gjøres tilgjengelig.
Samtidig var ikke alle delene ferdig sikkerhetstestet da redegjørelsen ble publisert. Det interne systemet, lisensregisteret og lisensmerket var klare for kontroll av uavhengige sikkerhetsspesialister, mens klientportalen fortsatt ble justert før testing.
Hendelsen er meldt i tre land
CGA har meldt inntrengningen og levert formelle klager til myndigheter i Curaçao, Tyskland og Nederland. Spesialistselskaper er også engasjert for å forsøke å fjerne det publiserte materialet fra nettet.
En uavhengig teknisk undersøkelse skal fastslå omfanget og konsekvensene. CGA vurderer i tillegg et sivilt søksmål, men har ikke offentliggjort hvor mye informasjon som ble hentet ut eller hvilke lisenshavere som er berørt.
Tilsynet omtaler tilgangen som en straffbar handling. Dette er CGAs vurdering, og det er ikke opplyst om noen rettsavgjørelse i saken.
Portalen var del av lisensreformen
Det eksternt drevne systemet ble tatt i bruk mens Curaçao bygget opp en ny modell for lisensiering av nettspill. Pengespilloven LOK trådte i kraft i desember 2024 og erstattet ordningen med hovedlisenser og underlisenser med direkte tilsyn fra CGA.
Intern drift av portalen var allerede et langsiktig mål. CGA opplyser at tilsynet siden reformarbeidet startet i 2024 har ansatt 14 medarbeidere, hovedsakelig innen lisensbehandling, tilsyn og håndheving, for å redusere avhengigheten av eksterne rådgivere.
