Kinumpirma ng Curaçao Gaming Authority na ang hindi awtorisadong pag-access sa online gaming licensing portal nito ay nagpatuloy nang humigit-kumulang siyam na buwan bago ito tinukoy at tinapos ng regulator noong Setyembre 2026.
Ang account na sangkot sa insidente ay nilikha noong Disyembre 2025 gamit ang isang pekeng pagkakakilanlan. Ang pag-access ay naganap sa pamamagitan ng seksyong nakaharap sa customer ng portal ng lisensya at walang kasamang kumpirmadong paglabag sa pangunahing teknikal na imprastraktura ng awtoridad.
Patuloy na iniimbestigahan ng regulator kung anong impormasyon ang nakuha. Tumanggi itong beripikahin ang mga bilang na kumakalat sa publiko tungkol sa dami ng materyal na kasangkot hangga't hindi pa naitatatag ng imbestigasyon ang buong saklaw ng insidente.
Maling Pagkakakilanlan na Ginamit para Makakuha ng Access sa Portal
Iniulat ng Asia Gaming Brief na ang account ay nakarehistro gamit ang isang baryasyon ng pangalan ng isang totoong tao kasama ang isang umiiral na kumpanya na nakalista sa rehistro ng Curaçao Chamber of Commerce.
Nanatiling aktibo ang account mula Disyembre 2025 hanggang Setyembre 2026. Sinabi ng CGA na ang pag-access ay hindi awtorisado at inilarawan ang insidente bilang isang malubhang paglabag sa ilalim ng batas ng Curaçao.
Ang opisyal na kasunod na anunsyo ng regulator noong Setyembre 22 [ pdf ] ay dumating kasunod ng mga internasyonal na ulat kung saan inangkin ng isang mananaliksik sa seguridad na Aleman na na-access ang portal at kumuha ng impormasyon na may kaugnayan sa mga operator ng Curaçao at mga panloob na dokumento ng CGA.
Sinabi ng CGA na ang mga pahayag na iyon ay naaayon sa mga natuklasan ng sarili nitong imbestigasyon.
"Itinuturing ng CGA na ito ay isang seryosong paglabag sa ilalim ng batas ng Curacao, hindi katanggap-tanggap, at isusulong ang pag-uulat ng pangyayaring ito sa mga kinauukulang Awtoridad," ayon sa regulator.
Hindi pa natutukoy ng awtoridad ang buong saklaw ng materyal na nakuha. Sinabi nito na iiwasan nitong ulitin ang mga bilang na hindi pa nabeberipika ng mga imbestigador at magbibigay ng kumpirmadong impormasyon kapag may ebidensyang sumusuporta rito.
Ang mga ulat kaugnay ng insidente ay tumutukoy sa isang pampublikong archive na sinasabing naglalaman ng mahigit 40,000 dokumentong naka-link sa humigit-kumulang 650 lisensyadong kumpanya at humigit-kumulang 800 may-ari. Binigyang-diin din ng mga ulat na ang paglitaw sa archive ay hindi lamang nagpapahiwatig ng hindi wasto o ilegal na pag-uugali.
Hindi pa kinumpirma ng CGA ang mga bilang na iyon.
Walang Natuklasan na Paglabag sa Pangunahing Imprastraktura sa Unang Imbestigasyon
Unang hinarap ng regulator sa publiko ang insidente sa isang opisyal na anunsyo [ pdf ] na may petsang Setyembre 17.
Sa pahayag na iyon, sinabi ng Curaçao Gaming Authority na natukoy nito ang hindi awtorisadong pag-access sa online gaming portal nito at napigilan na ito. Sinabi ng awtoridad na natukoy din nito ang pinagmulan ng pag-access.
Isinagawa ng CGA at ng service provider nito ang mga pamamaraan sa pagtugon sa insidente kasunod ng pagtuklas. Pagkatapos ay sinimulan ng service provider ang isang forensic investigation upang matukoy kung paano naganap ang insidente at kung anong impormasyon ang maaaring na-access.
Sa puntong iyon, wala pang natukoy na anumang kompromiso ang mga imbestigador sa pangunahing teknikal na imprastraktura ng regulator.
Sinabi ng CGA na sinusuri pa rin nito kung aling impormasyon ang tiningnan o nakuha at kung ano ang mga kahihinatnan na maaaring magresulta mula sa insidente. Dahil sa uri ng impormasyong hawak ng regulator, sinabi nitong masyadong maaga pa para makabuo ng mga konklusyon tungkol sa pangkalahatang epekto.
Nakasaad din sa anunsyo na ipinakilala ang mga karagdagang hakbang sa pagsubaybay at seguridad habang nagpapatuloy ang imbestigasyon.
Sinabi ng awtoridad na ang sinumang indibidwal, aplikante, may lisensya o iba pang stakeholder na mapatunayang apektado ay makakatanggap ng direktang abiso alinsunod sa naaangkop na mga kinakailangan ng legal at regulasyon.
Ang follow-up noong Setyembre 22 ay nagbigay ng karagdagang detalye kung paano na-access ang portal at itinaguyod ang panahon kung kailan nanatiling aktibo ang hindi awtorisadong account.
Pinalakas ang mga Hakbang sa Seguridad Matapos ang Pagtuklas
Simula nang unang pampublikong anunsyo, nagpakilala ang CGA ng mga karagdagang hakbang na sumasaklaw sa back-office side ng online gaming portal nito at sa customer-facing interface nito. Nagpatupad din ang regulator ng mga pag-upgrade sa seguridad ng software.
Naabisuhan na ang mga operator ng online gaming tungkol sa mga kinakailangang pagbabago sa kanilang panig at hinikayat silang ipatupad ang mga hakbang na iyon sa lalong madaling panahon.
Tinugunan din ng CGA ang mga tanong tungkol sa mga pamamaraan nito sa paglilisensya kasunod ng mga ulat batay sa mga dokumentong umano'y nakuha mula sa portal. Sinabi ng regulator na sinunod nito ang mga panloob na pamamaraan ng due-diligence simula nang magsimula ang reporma sa online gaming ng Curaçao noong 2024. Kabilang sa prosesong iyon ang pagsusuri sa mga dokumentong isinumite ng mga aplikante at pagsubaybay sa mga natitirang tanong bago bumuo ng opinyon ang awtoridad kung magbibigay ba ng lisensya.
Kinilala ng CGA na ang mga lisensyadong operator ay maaaring mayroon pa ring mga nakabinbing bagay na nangangailangan ng karagdagang aksyon pagkatapos ng desisyon sa lisensya. Sinabi nito na ang mga isyung iyon ay sinusundan kung kinakailangan.
Nagbabala rin ang awtoridad laban sa paggawa ng mga konklusyon tungkol sa mga desisyon nito sa paglilisensya sa pamamagitan ng pagsusuri sa mga indibidwal na dokumento nang hiwalay mula sa mas malawak na konteksto ng isang aplikasyon.
Ipinapatupad ng Curaçao ang mas malawak na pagbabago sa balangkas ng online gaming nito, kabilang ang mga bagong kinakailangan na nakakaapekto sa mga operator at supplier sa ilalim ng repormang sistema ng regulasyon.
Nagpapatuloy pa rin ang imbestigasyon sa portal. Sinabi ng CGA na patuloy nitong itinuturing ang insidente bilang isang prayoridad at maglalabas ng karagdagang impormasyon habang ang mga imbestigador ay nagtatatag ng mga karagdagang katotohanan.
