Curaçao Gaming Authority doet aangifte in drie landen: wat betekent dit datalek voor jou?

Emma Bakker · 2026-10-20

Stel je voor: je vertrouwt je gegevens toe aan een vergunningverlenende instantie, en plots blijkt een Duitse beveiligingsonderzoeker al maanden ongehinderd toegang te hebben gehad. Dat is precies wat er gebeurde bij de Curaçao Gaming Authority (CGA). Het lek werd op 17 september 2026 ontdekt, maar de indringer bleek al sinds december 2025 actief. Nu doet de CGA aangifte in drie landen. Wat is er aan de hand, en wat betekent dit voor de goksector en jou als professional? ### Wat is er precies gebeurd? De CGA ontdekte op 17 september 2026 dat een Duitse beveiligingsonderzoeker, Lilith Wittmann, ongeoorloofd toegang had gekregen tot het online vergunningenportaal. Volgens de toezichthouder wist zij al sinds december 2025 binnen te dringen. Bij deze hack werden vertrouwelijke gegevens van vergunninghouders buitgemaakt en vervolgens openbaar gemaakt. Het gaat om tienduizenden documenten, waaronder gegevens over de eigenaren van honderden gokbedrijven met een Curaçaose vergunning. De CGA noemt het incident strafbaar handelen en benadrukt dat de gevolgen ernstig zijn voor de toezichthouder, de goksector en alle betrokken personen en bedrijven. Je kunt je voorstellen dat dit tot de nodige onrust leidt. ### Aangifte in drie landen en onafhankelijk onderzoek De CGA heeft het incident gemeld bij de autoriteiten in Curaçao, Nederland en Duitsland. Welke autoriteiten precies de aangiftes behandelen en tegen wie deze gericht zijn, blijft onduidelijk. Daarnaast heeft de toezichthouder externe specialisten ingeschakeld om de verspreiding van de gelekte gegevens tegen te gaan. Zij moeten proberen de vertrouwelijke informatie die op internet is verschenen, te laten verwijderen. Ook is er een onafhankelijk technisch onderzoek gestart naar de omvang en de gevolgen van het datalek. Uit de eerste bevindingen blijkt dat de ongeoorloofde toegang plaatsvond tussen december 2025 en september 2026. Hoeveel gegevens er precies zijn buitgemaakt en hoeveel bedrijven en personen zijn getroffen, wil de CGA nog niet bekendmaken. ### Kritiek van de branche en beëindiging samenwerking Eerder uitte de Curaçao Online Gaming Association (COGA) al kritiek op de hack. De branchevereniging was niet alleen kritisch op de werkwijze van Wittmann, maar stelde ook dat de beveiliging van het vergunningenportaal beter had gemoeten. In een reactie verdedigt de CGA de keuze om het portaal door een externe partij te laten beheren. Volgens de toezichthouder was hiervoor specialistische kennis nodig vanwege de hervorming van de Curaçaose goksector. Inmiddels heeft de CGA de samenwerking met Random Consulting beëindigd. Dit is het bedrijf van voormalig Malta Gaming Authority-directeur Mario Galea. De samenwerking lag al langer onder vuur vanwege vragen over mogelijke miljoenenbetalingen aan Galea. Minister van Financiën Charles Cooper kondigde eerder aan aangifte te willen doen tegen de CGA, maar wacht daarmee totdat het onderzoek is afgerond. De CGA benadrukt dat de verantwoordelijkheid voor vergunningverlening en toezicht altijd bij de autoriteit zelf is gebleven. Met de aanstelling van veertien medewerkers wil de toezichthouder de afhankelijkheid van externe partijen verminderen. ### Tijdelijk vergunningenportaal en toekomstplannen Na het datalek besloot de CGA het getroffen vergunningenportaal definitief buiten gebruik te stellen. Een tijdelijk portaal zou volgens de planning op maandag 19 oktober 2026 in gebruik worden genomen, samen met het vergunningenregister en het systeem voor digitale vergunningzegels. De nieuwe systemen worden onderworpen aan onafhankelijke beveiligingscontroles. De CGA benadrukt dat bestaande vergunningen geldig blijven en dat vergunninghouders aan hun verplichtingen moeten blijven voldoen. Op langere termijn wil de toezichthouder een volledig nieuw vergunningenportaal ontwikkelen dat in eigen beheer wordt genomen. ### Wat betekent dit voor jou als professional? Als je werkzaam bent in de goksector of te maken hebt met vergunningverlening, is dit een wake-upcall. De beveiliging van je gegevens en die van je klanten is cruciaal. Zorg ervoor dat je op de hoogte bent van de laatste ontwikkelingen en neem waar nodig extra voorzorgsmaatregelen. De CGA heeft laten weten dat ze de afhankelijkheid van externe partijen wil verminderen en de beveiliging wil versterken. Houd de berichtgeving hierover goed in de gaten. > “De verantwoordelijkheid voor vergunningverlening en toezicht is altijd bij de autoriteit zelf gebleven,” aldus de CGA. Kortom, dit datalek heeft de goksector flink opgeschud. De komende maanden zal blijken wat de precieze gevolgen zijn en welke stappen de CGA neemt om herhaling te voorkomen. Blijf op de hoogte!