Wyciek danych z Curaçao. Pod lupą właściciele firm hazardowych

Wyciek dokumentów ujawnia właścicieli firm hazardowych

Jak podał Follow the Money, berlińska badaczka i hakerka Lilith Wittmann uzyskała dostęp do systemu licencyjnego Curaçao Gaming Authority i pozyskała dziesiątki tysięcy poufnych dokumentów. Materiały dotyczą setek spółek hazardowych zarejestrowanych na wyspie i mają pozwalać na identyfikację właścicieli, którzy wcześniej pozostawali anonimowi.

Według ustaleń dziennikarzy w części przypadków licencje miały być przyznawane bez potwierdzenia, czy wskazane osoby rzeczywiście kontrolowały dane przedsiębiorstwa. Postępowania miały być kontynuowane również wtedy, gdy nie udzielono odpowiedzi na wszystkie pytania lub w dokumentacji brakowało informacji. Ustalenia dotyczą konkretnych procesów licencyjnych i nie oznaczają automatycznie nieprawidłowości po stronie wszystkich osób lub firm pojawiających się w dokumentach.

Follow the Money podał również, że większość zidentyfikowanych właścicieli pochodziła z Europy, szczególnie z Ukrainy, Wielkiej Brytanii i Cypru. Holandia odpowiadała za 13 zidentyfikowanych właścicieli, natomiast 94 proc. firm hazardowych miało co najmniej jednego holenderskiego dyrektora, a 40 proc. dyrektorów miało urodzić się w Holandii. Dane ponownie kierują uwagę na kwestię beneficial ownership, czyli ustalania osób faktycznie kontrolujących spółki prowadzące działalność hazardową.

Włamanie do portalu zwiększa problemy regulatora

Wyciek pojawił się równolegle z incydentem bezpieczeństwa dotyczącym portalu licencyjnego Curaçao. Curaçao Gaming Authority poinformował 17 września o nieautoryzowanym dostępie do systemu i rozpoczęciu dochodzenia informatycznego. Regulator przekazał, że dostęp został zablokowany, ale pełny zakres incydentu oraz zakres pozyskanych danych nie były wówczas jeszcze znane.

Według CAT Investigators ujawniony materiał obejmuje około 1350 wniosków licencyjnych ze 111 państw. Dokumenty mają identyfikować około 800 właścicieli związanych z 646 licencjonowanymi spółkami hazardowymi prowadzącymi tysiące stron internetowych. Według tych samych danych 16 września publiczny rejestr CGA obejmował 616 licencji, w tym 523 dla operatorów i 93 dla dostawców.

Skala wycieku jest szczególnie istotna ze względu na charakter informacji zbieranych podczas procesu licencyjnego. Dotyczą one nie tylko samych spółek, ale również ich właścicieli, dyrektorów i osób podlegających weryfikacji. Informacje tego rodzaju mogą mieć znaczenie także dla banków, dostawców płatności, firm kryptowalutowych i innych podmiotów prowadzących własne procedury due diligence.

Reforma Curaçao przechodzi test wiarygodności

Przez lata Curaçao opierało swój model hazardu online na niewielkiej liczbie posiadaczy master licence, którzy mogli udzielać sublicencji kolejnym operatorom. System umożliwił rozwój dużego międzynarodowego sektora, ale jednocześnie utrudniał regulatorom, organom podatkowym czy dziennikarzom ustalanie osób faktycznie stojących za poszczególnymi serwisami.

W grudniu 2024 roku przyjęto National Ordinance on Games of Chance, czyli LOK, rozpoczynając przebudowę tego modelu. Nowy system opiera się na bezpośrednim nadzorze Curaçao Gaming Authority i ma zwiększać przejrzystość rynku, kontrolę beneficial ownership, standardy przeciwdziałania praniu pieniędzy oraz ochronę graczy. Weryfikacja operatorów ma przy tym wykraczać poza sam moment przyznawania licencji.

Ujawnione dokumenty stają się więc testem dla reformy. Regulator musi zmierzyć się zarówno z pytaniami dotyczącymi bezpieczeństwa zgromadzonych danych, jak i skuteczności weryfikacji osób faktycznie kontrolujących licencjonowane przedsiębiorstwa. Ma to znaczenie również poza Curaçao, ponieważ tamtejsze licencje są wykorzystywane przez operatorów działających na wielu rynkach międzynarodowych.

Wyciek pokazuje problem wykraczający poza Curaçao

Pytania o to, kto faktycznie stoi za spółkami posiadającymi licencje z Curaçao, nie dotyczą więc wyłącznie tamtejszego regulatora. Operatorzy działający z tej jurysdykcji mogą kierować swoje serwisy do użytkowników na wielu rynkach, także tam, gdzie sama licencja z Curaçao nie daje im prawa do prowadzenia działalności.

Nowy system LOK miał zwiększyć przejrzystość struktur właścicielskich i odpowiedzialność operatorów. Ujawnione dokumenty oraz incydent dotyczący portalu licencyjnego stawiają przed Curaçao dwa odrębne pytania: czy regulator jest w stanie skutecznie weryfikować osoby kontrolujące licencjonowane spółki oraz czy potrafi odpowiednio chronić informacje zbierane w tym procesie.