Le régulateur de Curaçao détaille l’intrusion dans son portail et prévoit son remplacement

La Curaçao Gaming Authority a publié un compte rendu détaillé de l’intrusion ayant touché son portail de licences de jeux d’argent en ligne, exposant les actions judiciaires, les démarches de suppression des données et les projets de remplacement du système géré par un prestataire externe.

Dans un communiqué publié le 19 octobre, la CGA a indiqué avoir découvert le 17 septembre qu’une personne allemande menant des recherches en cybersécurité avait accédé au portail sans autorisation. Ses investigations indiquaient que cet accès s’était poursuivi entre décembre 2025 et septembre 2026.

Le régulateur a déclaré que des informations confidentielles appartenant à des titulaires de licences de jeux en ligne avaient été obtenues et publiées. Il a qualifié ces actes de criminels et indiqué avoir commandé une enquête technique indépendante sur l’impact et les conséquences de l’attaque. 

Des plaintes déposées dans trois juridictions

La CGA a déclaré avoir déposé des plaintes et signalé l’incident aux autorités de Curaçao, d’Allemagne et des Pays-Bas.

Elle a également engagé des entreprises spécialisées pour tenter de faire retirer d’internet les informations exposées et envisage une action civile.

Le communiqué identifie le portail de licences et sa base de données comme les infrastructures touchées, toutes deux gérées par une entreprise externe. Le prestataire n’est pas nommé.

Le document présente la version de la CGA sur l’incident et sa réponse. Il ne contient pas les conclusions définitives de l’enquête technique indépendante. 

Le lancement du portail provisoire reste non confirmé

La CGA a définitivement abandonné l’ancien portail et les accords de service associés le 7 octobre, après une première enquête, des mesures de sécurité et la mise hors service du système.

Son communiqué sur le remplacement prévoyait un portail provisoire pour le 19 octobre, accompagné d’un registre des licences et d’un sceau numérique destiné à démontrer qu’un site détient une licence de la CGA.

Le même document décrivait toutefois des travaux encore inachevés. Le système interne, le registre et le sceau étaient prêts pour des contrôles de sécurité indépendants, tandis que le portail destiné aux clients nécessitait des ajustements avant les tests.

Au 20 octobre, la page d’accueil de la CGA affichait toujours la date de lancement prévue du 19 octobre. Cet avis ne confirmait pas la mise en service du système de remplacement. 

La CGA prépare également le développement et la gestion d’un portail permanent.

L’externalisation a suivi une réforme réglementaire accélérée

Le régulateur a profité du communiqué pour expliquer pourquoi il s’était initialement appuyé sur des technologies et des compétences externes.

Selon la CGA, le ministère des Finances a décidé au second semestre 2023 de commencer à réformer la supervision des jeux en ligne avant l’entrée en vigueur, en décembre 2024, de la nouvelle National Ordinance on Games of Chance, connue sous le nom de LOK.

L’autorité a cité les accords avec les Pays-Bas, l’augmentation des plaintes de joueurs, la couverture médiatique négative et les préparatifs de l’évaluation de Curaçao par la Caribbean Financial Action Task Force en juin 2024.

La réforme nécessitant des connaissances spécialisées, la CGA a fait appel à des intervenants externes expérimentés en technologie, en licences et en supervision. Elle a indiqué que le portail géré en externe devait être remplacé à terme par un système géré en interne.

Depuis 2024, la CGA a recruté 14 salariés, principalement dans les licences, la supervision et l’application de la réglementation, afin de développer les compétences locales et de réduire sa dépendance aux conseillers. Elle a souligné que la responsabilité des licences et de la supervision était restée entre les mains de l’autorité tout au long du processus. 

La fermeture du portail n’invalide pas les licences existantes. Les opérateurs restent tenus de respecter leurs obligations, tandis que les activités de délivrance de licences et de supervision se poursuivent selon des modalités alternatives.