Il regolatore di Curaçao dettaglia la violazione del portale e pianifica un sistema sostitutivo

La Curaçao Gaming Authority ha pubblicato un resoconto dettagliato della violazione che ha interessato il suo portale di licenze per il gioco online, illustrando azioni legali, tentativi di rimozione dei dati e piani per sostituire il sistema gestito esternamente.

In un comunicato pubblicato il 19 ottobre, la CGA ha dichiarato di aver scoperto il 17 settembre che una persona tedesca impegnata nella ricerca sulla cybersicurezza aveva effettuato accessi non autorizzati al portale. Le sue indagini indicavano che l’accesso era proseguito tra dicembre 2025 e settembre 2026.

Il regolatore ha affermato che erano state ottenute e pubblicate informazioni riservate appartenenti ai titolari di licenze di gioco online. Ha definito la condotta criminale e dichiarato di aver commissionato un’indagine tecnica indipendente sull’impatto e sulle conseguenze dell’attacco. 

Denunce presentate in tre giurisdizioni

La CGA ha dichiarato di aver presentato denunce e segnalato l’incidente alle autorità di Curaçao, Germania e Paesi Bassi.

Ha inoltre incaricato società specializzate di cercare di rimuovere da internet le informazioni esposte e sta valutando un’azione civile.

Il comunicato identifica il portale di licenze e il relativo database come infrastrutture colpite, entrambe gestite da una società esterna. Il fornitore non viene nominato.

Il documento presenta la versione della CGA sull’incidente e sulla risposta adottata. Non contiene le conclusioni definitive dell’indagine tecnica indipendente. 

Il lancio del portale provvisorio resta non confermato

Il 7 ottobre la CGA ha abbandonato definitivamente il precedente portale e i relativi accordi di servizio, dopo un’indagine iniziale, misure di sicurezza e la messa fuori servizio del sistema.

Il comunicato sulla sostituzione prevedeva un portale provvisorio per il 19 ottobre, insieme a un registro delle licenze e a un sigillo digitale destinato a dimostrare che un sito possiede una licenza CGA.

Lo stesso documento descriveva tuttavia lavori ancora da completare. Il sistema interno, il registro e il sigillo erano pronti per controlli di sicurezza indipendenti, mentre il portale per i clienti richiedeva modifiche prima dei test.

Al 20 ottobre, la pagina iniziale della CGA continuava a mostrare la data di lancio prevista del 19 ottobre. L’avviso non confermava che il sistema sostitutivo fosse entrato in funzione. 

La CGA si sta inoltre preparando a sviluppare e gestire un portale permanente.

L’esternalizzazione ha seguito una riforma normativa accelerata

Il regolatore ha usato il comunicato per spiegare perché inizialmente si fosse affidato a tecnologia e competenze esterne.

Secondo la CGA, il ministero delle Finanze ha deciso nella seconda metà del 2023 di avviare la riforma della vigilanza sul gioco online prima dell’entrata in vigore, nel dicembre 2024, della nuova National Ordinance on Games of Chance, nota come LOK.

L’autorità ha citato gli accordi con i Paesi Bassi, l’aumento dei reclami dei giocatori, la copertura mediatica negativa e i preparativi per la valutazione di Curaçao da parte della Caribbean Financial Action Task Force nel giugno 2024.

Poiché la riforma richiedeva conoscenze specialistiche, la CGA ha coinvolto soggetti esterni con esperienza in tecnologia, licenze e vigilanza. Ha dichiarato che il portale gestito esternamente era destinato a essere sostituito nel tempo da un sistema gestito internamente.

Dal 2024 la CGA ha assunto 14 dipendenti, soprattutto nelle aree licenze, vigilanza e applicazione delle norme, per sviluppare competenze locali e ridurre la dipendenza dai consulenti. Ha sottolineato che la responsabilità delle licenze e della vigilanza è sempre rimasta all’autorità. 

La chiusura del portale non invalida le licenze esistenti. Gli operatori restano responsabili del rispetto dei propri obblighi, mentre le attività di licenza e vigilanza proseguono attraverso modalità alternative.