Regulador de Curaçao detalha invasão de portal e planeja sistema substituto

A Curaçao Gaming Authority publicou um relato detalhado da invasão que afetou seu portal de licenciamento de jogos de azar online, descrevendo medidas judiciais, esforços para remover dados e planos para substituir o sistema gerenciado externamente.

Em comunicado publicado em 19 de outubro, a CGA afirmou que descobriu em 17 de setembro que uma pessoa alemã dedicada à pesquisa em cibersegurança havia acessado o portal sem autorização. Suas investigações indicaram que o acesso continuou entre dezembro de 2025 e setembro de 2026.

O regulador informou que dados confidenciais pertencentes a titulares de licenças de jogos online foram obtidos e publicados. Classificou a conduta como criminosa e afirmou ter contratado uma investigação técnica independente sobre o impacto e as consequências do ataque. 

Queixas apresentadas em três jurisdições

A CGA afirmou ter apresentado queixas e comunicado o incidente às autoridades de Curaçao, Alemanha e Países Baixos.

Também contratou empresas especializadas para buscar a remoção das informações expostas da internet e está considerando uma ação civil.

O comunicado identifica o portal de licenciamento e seu banco de dados como a infraestrutura afetada, ambos gerenciados por uma empresa externa. O fornecedor não é identificado.

O documento apresenta a versão da CGA sobre o incidente e sua resposta. Ele não traz as conclusões finais da investigação técnica independente. 

Lançamento do portal provisório segue sem confirmação

A CGA abandonou definitivamente o portal anterior e os acordos de serviço associados em 7 de outubro, após uma investigação inicial, medidas de segurança e a retirada do sistema de operação.

O comunicado sobre a substituição previa um portal provisório para 19 de outubro, acompanhado de um registro de licenças e de um selo digital destinado a demonstrar que um site possui licença da CGA.

No entanto, o mesmo documento descrevia trabalhos ainda pendentes. O sistema interno, o registro e o selo estavam prontos para verificações de segurança independentes, enquanto o portal voltado aos clientes precisava de ajustes antes dos testes.

Em 20 de outubro, a página inicial da CGA continuava exibindo a data de lançamento prevista de 19 de outubro. Esse aviso não confirmava que o sistema substituto havia entrado em operação. 

A CGA também está se preparando para desenvolver e gerenciar um portal permanente.

Terceirização acompanhou reforma regulatória acelerada

O regulador usou o comunicado para explicar por que inicialmente recorreu a tecnologia e conhecimento externos.

Segundo a CGA, o Ministério das Finanças decidiu no segundo semestre de 2023 iniciar a reforma da supervisão dos jogos online antes da entrada em vigor da nova National Ordinance on Games of Chance, conhecida como LOK, em dezembro de 2024.

A autoridade citou acordos com os Países Baixos, o aumento das reclamações de jogadores, a cobertura negativa da imprensa e os preparativos para a avaliação de Curaçao pela Caribbean Financial Action Task Force em junho de 2024.

Como a reforma exigia conhecimento especializado, a CGA contratou terceiros com experiência em tecnologia, licenciamento e supervisão. Informou que o portal gerenciado externamente deveria ser substituído ao longo do tempo por um sistema administrado internamente.

Desde 2024, a CGA contratou 14 funcionários, principalmente nas áreas de licenciamento, supervisão e fiscalização, para desenvolver conhecimento local e reduzir a dependência de consultores. Ressaltou que a responsabilidade pelo licenciamento e pela supervisão permaneceu com a autoridade durante todo o período. 

O fechamento do portal não invalida as licenças existentes. Os operadores continuam responsáveis pelo cumprimento de suas obrigações, enquanto os trabalhos de licenciamento e supervisão prosseguem por mecanismos alternativos.