El regulador de Curaçao detalla la brecha de su portal y planea un sistema de reemplazo

La Curaçao Gaming Authority ha publicado un informe detallado sobre la brecha que afectó a su portal de licencias de juego online, en el que expone acciones legales, esfuerzos para retirar datos y planes para sustituir el sistema gestionado externamente.

En un comunicado publicado el 19 de octubre, la CGA afirmó que el 17 de septiembre descubrió que una persona alemana dedicada a la investigación en ciberseguridad había accedido al portal sin autorización. Sus investigaciones indicaron que el acceso se prolongó entre diciembre de 2025 y septiembre de 2026.

El regulador señaló que se obtuvo y publicó información confidencial perteneciente a titulares de licencias de juego online. Calificó la conducta de delictiva y afirmó haber encargado una investigación técnica independiente sobre el impacto y las consecuencias del ataque. 

Denuncias presentadas en tres jurisdicciones

La CGA indicó que había presentado denuncias y comunicado el incidente a las autoridades de Curaçao, Alemania y los Países Bajos.

También contrató a empresas especializadas para intentar retirar de internet la información expuesta y está considerando emprender acciones civiles.

El comunicado identifica el portal de licencias y su base de datos como la infraestructura afectada, ambos gestionados por una empresa externa. No menciona el nombre del proveedor.

El documento expone la versión de la CGA sobre el incidente y su respuesta. No presenta las conclusiones definitivas de la investigación técnica independiente. 

El lanzamiento del portal provisional sigue sin confirmarse

La CGA abandonó definitivamente el portal anterior y los acuerdos de servicio asociados el 7 de octubre, después de una investigación inicial, medidas de seguridad y la retirada del sistema del servicio.

Su comunicado sobre el reemplazo programaba un portal provisional para el 19 de octubre, junto con un registro de licencias y un sello digital destinado a demostrar que un sitio web cuenta con una licencia de la CGA.

Sin embargo, el mismo documento describía tareas aún pendientes. El sistema interno, el registro y el sello estaban listos para controles de seguridad independientes, mientras que el portal para clientes requería ajustes antes de las pruebas.

A 20 de octubre, la página principal de la CGA seguía mostrando la fecha de lanzamiento prevista del 19 de octubre. Ese aviso no confirmaba que el reemplazo hubiera entrado en funcionamiento. 

La CGA también se está preparando para desarrollar y gestionar un portal permanente.

La externalización siguió a una reforma regulatoria acelerada

El regulador utilizó el comunicado para explicar por qué recurrió inicialmente a tecnología y conocimientos externos.

Según la CGA, el Ministerio de Finanzas decidió en la segunda mitad de 2023 comenzar la reforma de la supervisión del juego online antes de que la nueva National Ordinance on Games of Chance, conocida como LOK, entrara en vigor en diciembre de 2024.

La autoridad citó los acuerdos con los Países Bajos, el aumento de las reclamaciones de jugadores, la cobertura mediática negativa y los preparativos para la evaluación de Curaçao por la Caribbean Financial Action Task Force en junio de 2024.

Como la reforma requería conocimientos especializados, la CGA incorporó a terceros con experiencia en tecnología, licencias y supervisión. Indicó que el portal gestionado externamente debía sustituirse con el tiempo por un sistema de gestión interna.

Desde 2024, la CGA ha contratado a 14 empleados, principalmente en licencias, supervisión y aplicación de la normativa, para desarrollar conocimientos locales y reducir la dependencia de asesores. Subrayó que la responsabilidad de las licencias y la supervisión permaneció en todo momento en manos de la autoridad. 

El cierre del portal no invalida las licencias existentes. Los operadores siguen siendo responsables de cumplir sus obligaciones mientras los trabajos de licencias y supervisión continúan mediante mecanismos alternativos.