Regulator Curaçao przedstawia szczegóły włamania do portalu i planuje system zastępczy

Curaçao Gaming Authority opublikowała szczegółowy opis naruszenia bezpieczeństwa portalu licencyjnego dla hazardu online, przedstawiając działania prawne, starania o usunięcie danych i plany zastąpienia systemu zarządzanego przez zewnętrzną firmę.

W oświadczeniu opublikowanym 19 października CGA podała, że 17 września odkryła nieautoryzowany dostęp do portalu uzyskany przez osobę z Niemiec zajmującą się badaniami nad cyberbezpieczeństwem. Ustalenia wskazywały, że dostęp trwał od grudnia 2025 do września 2026 roku.

Regulator poinformował, że pozyskano i opublikowano poufne informacje należące do posiadaczy licencji hazardowych online. Określił te działania jako przestępcze i zlecił niezależne badanie techniczne wpływu oraz konsekwencji ataku. 

Zawiadomienia złożono w trzech jurysdykcjach

CGA poinformowała, że złożyła zawiadomienia i zgłosiła incydent władzom Curaçao, Niemiec i Holandii.

Zaangażowała także wyspecjalizowane firmy do działań na rzecz usunięcia ujawnionych informacji z internetu i rozważa postępowanie cywilne.

Oświadczenie wskazuje portal licencyjny i jego bazę danych jako infrastrukturę objętą incydentem. Oba elementy były zarządzane przez firmę zewnętrzną, której nazwy nie podano.

Dokument przedstawia relację CGA dotyczącą incydentu i podjętej reakcji. Nie zawiera końcowych ustaleń niezależnego badania technicznego. 

Uruchomienie portalu tymczasowego nadal niepotwierdzone

7 października CGA definitywnie zrezygnowała z poprzedniego portalu i powiązanych umów usługowych, po wstępnym badaniu, wdrożeniu środków bezpieczeństwa i wyłączeniu systemu z użytkowania.

W komunikacie dotyczącym zastąpienia systemu zaplanowano portal tymczasowy na 19 października, wraz z rejestrem licencji i cyfrową pieczęcią mającą potwierdzać, że strona posiada licencję CGA.

Ten sam dokument opisywał jednak prace pozostające do wykonania. System wewnętrzny, rejestr i pieczęć były gotowe do niezależnych kontroli bezpieczeństwa, natomiast portal dla klientów wymagał zmian przed testami.

20 października strona główna CGA nadal wyświetlała planowaną datę uruchomienia 19 października. Informacja ta nie potwierdzała, że system zastępczy rozpoczął działanie. 

CGA przygotowuje się również do stworzenia i zarządzania portalem docelowym.

Outsourcing towarzyszył przyspieszonej reformie regulacyjnej

Regulator wykorzystał oświadczenie, aby wyjaśnić, dlaczego początkowo polegał na zewnętrznej technologii i wiedzy specjalistycznej.

Według CGA Ministerstwo Finansów zdecydowało w drugiej połowie 2023 roku o rozpoczęciu reformy nadzoru nad hazardem online przed wejściem w życie w grudniu 2024 roku nowej National Ordinance on Games of Chance, znanej jako LOK.

Urząd wskazał porozumienia z Holandią, rosnącą liczbę skarg graczy, negatywne doniesienia medialne oraz przygotowania do oceny Curaçao przez Caribbean Financial Action Task Force w czerwcu 2024 roku.

Ponieważ reforma wymagała specjalistycznej wiedzy, CGA zaangażowała podmioty zewnętrzne z doświadczeniem w technologii, licencjonowaniu i nadzorze. Podała, że portal zarządzany zewnętrznie miał z czasem zostać zastąpiony systemem zarządzanym wewnętrznie.

Od 2024 roku CGA zatrudniła 14 pracowników, głównie w obszarach licencjonowania, nadzoru i egzekwowania przepisów, aby rozwijać lokalne kompetencje i ograniczać zależność od doradców. Podkreśliła, że odpowiedzialność za licencjonowanie i nadzór przez cały czas pozostawała po stronie urzędu. 

Zamknięcie portalu nie unieważnia istniejących licencji. Operatorzy nadal odpowiadają za realizację swoich obowiązków, a prace licencyjne i nadzorcze są kontynuowane w alternatywnych formach.