De CuraƧao Gaming Authority deed aangifte in drie landen na een datalek dat maandenlang onopgemerkt bleef. Een Duitse onderzoeker kreeg toegang tot tienduizenden vertrouwelijke documenten.
Een Duitse beveiligingsonderzoeker had maandenlang vrij spel in het online vergunningenportaal van de CuraƧao Gaming Authority (CGA). Dat blijkt uit een uitgebreid persbericht van de toezichthouder over een datalek dat pas op 17 september 2026 werd ontdekt. De ongeoorloofde toegang begon volgens de CGA al in december 2025.
Wat er in die maanden is binnengehaald, is niet mis. Lilith Wittmann, de onderzoeker in kwestie, kreeg toegang tot tienduizenden documenten. Daaronder zaten gegevens over de eigenaren van honderden gokbedrijven met een CuraƧaose vergunning. Vertrouwelijke informatie dus, die vervolgens openbaar werd gemaakt.
De CGA noemt het strafbaar handelen. Volgens de toezichthouder heeft het incident ernstige gevolgen voor de autoriteit zelf, voor de goksector en voor de betrokken personen en bedrijven.
### Aangifte in drie landen
Het incident is inmiddels gemeld bij de autoriteiten in drie landen: CuraƧao, Nederland en Duitsland. Welke instanties de aangiftes precies behandelen en tegen wie ze gericht zijn, houdt de CGA voor zich.
Naast de aangiftes heeft de toezichthouder externe specialisten ingeschakeld. Zij moeten proberen om de gelekte gegevens die op het internet zijn verschenen te laten verwijderen. Ook loopt er een onafhankelijk technisch onderzoek naar de omvang en de gevolgen van het datalek.
Wat de onderzoeken tot nu toe opleveren:
- De ongeoorloofde toegang vond plaats tussen december 2025 en september 2026.
- Hoeveel gegevens er precies zijn buitgemaakt, is nog niet bekend.
- Ook het aantal getroffen bedrijven en personen maakt de CGA nog niet openbaar.
### Kritiek uit de sector
Eerder uitte de CuraƧao Online Gaming Association (COGA) al kritiek op de hack. De branchevereniging was niet alleen kritisch op de werkwijze van Wittmann, maar stelde ook dat de beveiliging van het vergunningenportaal simpelweg beter had gemoeten.
Die kritiek raakt een gevoelige snaar. Want waarom lag het beheer van zo'n gevoelig portaal eigenlijk bij een externe partij?
### Waarom een externe partij?
In het persbericht verdedigt de CGA die keuze. Vanwege de hervorming van de CuraƧaose goksector was er specialistische kennis nodig, zo luidt de uitleg. Toch heeft de toezichthouder de samenwerking met Random Consulting inmiddels beƫindigd. Dat is het bedrijf van Mario Galea, voormalig directeur van de Malta Gaming Authority.
Die samenwerking lag al langer onder vuur vanwege vragen over mogelijke miljoenenbetalingen aan Galea. Minister van Financiƫn Charles Cooper kondigde eerder aan aangifte te willen doen tegen de CGA, maar wacht daarmee tot het onderzoek is afgerond.
De CGA benadrukt dat de verantwoordelijkheid voor vergunningverlening en toezicht altijd bij de autoriteit zelf is blijven liggen. Met de aanstelling van veertien medewerkers wil de toezichthouder de afhankelijkheid van externe partijen terugdringen.
> "De verantwoordelijkheid voor vergunningverlening en toezicht is altijd bij de autoriteit zelf gebleven." ā CGA
### Een tijdelijk portaal als tussenoplossing
Na het datalek besloot de CGA het getroffen vergunningenportaal definitief buiten gebruik te stellen. Een tijdelijk portaal zou volgens de planning op maandag 19 oktober 2026 in gebruik worden genomen, samen met het vergunningenregister en het systeem voor digitale vergunningzegels.
Die nieuwe systemen worden onderworpen aan onafhankelijke beveiligingscontroles. De CGA benadrukt dat bestaande vergunningen geldig blijven en dat vergunninghouders aan hun verplichtingen moeten blijven voldoen.
Op de langere termijn wil de toezichthouder een volledig nieuw vergunningenportaal ontwikkelen, dat dit keer in eigen beheer wordt genomen. Of dat de angel definitief verwijdert, zal de tijd moeten uitwijzen.
