Konsekwencje ogromnego wycieku danych w Curaçao. Co się dzieje w tej sprawie?

Co regulator mówi o włamaniu

CGA poinformowała, że incydent wykryła 17 września. Jak wynika z opublikowanego przez nią dokumentu, nieuprawniony dostęp trwał jednak znacznie dłużej: od grudnia 2025 roku do września 2026 roku, a dotyczył portalu licencyjnego i jego bazy danych, którymi zarządzała firma zewnętrzna. Osoba, która weszła do systemu, uzyskała i opublikowała dane oraz informacje poufne należące do posiadaczy licencji.

Regulator nie zostawia tu wątpliwości co do charakteru zdarzenia, nazywając je wynikiem działania przestępczego, i podkreśla, że w grę wchodzi zarówno interes sektora, jak i osób, których dane wyciekły. Sama skala wycieku, opisana przez dziennikarzy i firmy badawcze, obejmowała setki spółek i ich właścicieli.

„Nie czyni to tego, co stało się w CGA, mniej poważnym. Pokazuje, dlaczego bezpieczeństwo cyfrowe wymaga nieustannej uwagi”.

W reakcji na zdarzenie CGA złożyła zawiadomienia do organów na Curaçao, w Niemczech i w Holandii, wynajęła wyspecjalizowane firmy do usuwania informacji z internetu, zleciła niezależne śledztwo techniczne i rozważa wystąpienie na drogę cywilną.

Portal zamknięty, licencje zostają ważne

Po wykryciu wycieku regulator przeprowadził najpierw wewnętrzne postępowanie i wzmocnił zabezpieczenia, a sam portal wyłączył na czas śledztwa zewnętrznego. 7 października CGA ogłosiła, że trwale przestaje korzystać z dotychczasowego portalu i kończy współpracę z dostawcą usług regulacyjnych.

W zamian przygotowywany jest portal tymczasowy, który ma obsługiwać wnioski licencyjne i sprawy nadzorcze. Jego start miał miejsce w poniedziałek 19 października. CGA zapewnia, że przed startem portal przeszedł testy bezpieczeństwa i sprawdzenie podatności, a razem z nim mają być dostępne rejestr licencji oraz system cyfrowej pieczęci, która ma pokazywać, że dana strona posiada licencję CGA.

Regulator zaznacza przy tym, że zamknięcie poprzedniego portalu nie unieważnia wydanych licencji. Firmy z licencją CGA nadal muszą spełniać swoje obowiązki, a portal jest tylko narzędziem, które je obsługuje.

Tło: jak Curaçao doszło do reformy

Żeby zrozumieć, dlaczego ten wyciek ma taką wagę, trzeba cofnąć się do 2023 roku. CGA, działająca wtedy jako Gaming Control Board, rozpoczęła reformę sektora hazardu online na polecenie ministra finansów i na podstawie obowiązujących przepisów. Jednym z celów była poprawa międzynarodowej reputacji wyspy, którą od lat krytykowano za sposób działania firm hazardowych prowadzących działalność z Curaçao.

Do reformy przyczyniło się kilka czynników: porozumienia z Holandią w ramach Country Package, rosnąca liczba skarg graczy, negatywne publikacje medialne oraz zbliżająca się ocena CFATF, która odbyła się w czerwcu 2024 roku. Resort finansów zdecydował o rozpoczęciu przebudowy w drugiej połowie 2023 roku, nie czekając na wejście w życie nowej ustawy hazardowej LOK, co nastąpiło w grudniu 2024 roku.

Reforma wymagała wiedzy specjalistycznej, więc CGA zaangażowała zewnętrzne podmioty z doświadczeniem w technologii, licencjonowaniu i nadzorze. Portal do wniosków wybrano w modelu zarządzanym zewnętrznie, z myślą o przejściu do rozwiązania prowadzonego wewnętrznie na późniejszym etapie. Od 2024 roku regulator zatrudnił 14 osób, głównie w obszarach licencjonowania, nadzoru i egzekwowania, żeby budować kompetencje na miejscu i stopniowo zmniejszać zależność od doradców. Sam nadzór i licencjonowanie pozostawały zadaniem CGA.

Skala wycieku i dwie niewygodne odpowiedzi

Wyciek opisaliśmy szerzej we wrześniu, gdy pojawiły się pierwsze ustalenia. Berlińska badaczka i hakerka Lilith Wittmann uzyskała dostęp do systemu licencyjnego i pozyskała dziesiątki tysięcy poufnych dokumentów, dotyczących setek spółek hazardowych zarejestrowanych na wyspie. Według Follow the Money większość zidentyfikowanych właścicieli pochodziła z Europy, przede wszystkim z Ukrainy, Wielkiej Brytanii i Cypru, a 94 proc. firm miało co najmniej jednego holenderskiego dyrektora. Z ustaleń CAT Investigators wynikało z kolei, że materiał obejmuje około 1350 wniosków licencyjnych ze 111 państw i identyfikuje około 800 właścicieli powiązanych z 646 spółkami, podczas gdy publiczny rejestr CGA liczył 16 września 616 licencji, w tym 523 dla operatorów i 93 dla dostawców.

Nowy system miał odpowiedzieć między innymi na pytanie o beneficial ownership, czyli o osoby faktycznie kontrolujące licencjonowane spółki. Po tym wycieku Curaçao musi odpowiedzieć na dwa pytania jednocześnie: czy regulator skutecznie weryfikuje właścicieli i czy umie chronić dane, które zbiera w tym procesie. Szczegóły znajdziesz w naszym wcześniejszym tekście o wycieku z Curaçao.

Regulator zapowiada, że wyciągnie wnioski ze śledztwa i zmieni metody pracy, a także zaapelował do sektora o dialog i odpowiedzialność każdej ze stron. LOK kończy dwa lata 24 grudnia, więc pierwszy poważny test nowego systemu wypada dokładnie wtedy, gdy CGA obchodzi drugą rocznicę swojego istnienia.