Curaçao onderzoekt gokhack: wat gebeurt er met de gelekte dossiers en betwiste vergunningen? 

Op 17 september meldde de Curaçao Gaming Authority (CGA) dat iemand zonder toestemming toegang had gekregen tot haar online gokportaal. De toezichthouder wist toen naar eigen zeggen nog niet welke informatie was ingezien. Vijf dagen later publiceerde Follow the Money (FTM) bevindingen uit tienduizenden documenten die via dat systeem waren verkregen. 

Daarmee is het verhaal groter geworden dan een beveiligingsincident. De documenten bevatten gevoelige gegevens van mensen achter gokbedrijven, maar ook interne beoordelingen waarin CGA-medewerkers vragen stelden over eigenaarschap en de herkomst van vermogen. Sommige bedrijven kregen volgens FTM toch een vergunning. De vraag is nu wat de CGA met beide problemen doet: wie wordt geïnformeerd over de buitgemaakte gegevens, en worden de betrokken vergunningen opnieuw bekeken?  

Wat zei de CGA over de toegang tot haar portaal? 

In haar verklaring van 17 september bevestigde de CGA onbevoegde toegang tot het online portaal. Volgens de toezichthouder was die toegang afgesloten en was de bron ervan geïdentificeerd. Een externe dienstverlener was begonnen met digitaal forensisch onderzoek naar wat er precies was gebeurd. 

Op dat moment kon de CGA nog niet vaststellen welke informatie was ingezien en wat de gevolgen zouden zijn. De toezichthouder meldde ook dat het onderzoek toen geen aanwijzingen had opgeleverd dat haar belangrijkste technische infrastructuur was aangetast. Dat laatste zegt niet of documenten in het portaal zijn bekeken of meegenomen: juist die vraag moest het onderzoek nog beantwoorden.  

De CGA zegde toe personen, aanvragers, vergunninghouders en andere betrokkenen rechtstreeks te informeren als uit het onderzoek blijkt dat hun gegevens mogelijk zijn geraakt. Ook kondigde zij extra controles en beveiligingsmaatregelen aan. In de verklaring stond nog niet hoeveel dossiers waren getroffen, welke partijen bericht hadden gekregen of wanneer een volgende update zou volgen.  

Onderzoekers bekeken duizenden vertrouwelijke documenten 

Het onderzoek dat FTM op 22 september publiceerde, geeft een concreter beeld van de informatie die via het systeem beschikbaar kwam. De Duitse cybersecurityonderzoeker Lilith Wittmann verkreeg volgens FTM eind 2025 toegang tot het vergunningsportaal en bemachtigde tienduizenden documenten. Het onderzoeksplatform analyseerde die stukken samen met internationale mediapartners onder de naam Casino Secrets. 

De documenten hebben volgens FTM betrekking op 646 gokbedrijven met een Curaçaose vergunning. Ze bevatten onder meer vergunningaanvragen, namen van uiteindelijk belanghebbenden, bedrijfsstructuren, paspoorten, belastinggegevens en financiële verklaringen. FTM gebruikte voor zijn onderzoek documenten die Wittmann in december 2025 had verkregen. Dat is ook de peildatum van de bevindingen over de vergunningen.  

Voor de publieke discussie verandert daarmee iets wezenlijks. Op 17 september onderzocht de CGA nog welke gegevens mogelijk waren ingezien. Enkele dagen later beschreef FTM welke soorten vertrouwelijke stukken onderzoekers daadwerkelijk hadden ontvangen en geanalyseerd. Dat betekent niet dat inmiddels elk getroffen persoon of bedrijf bekend is, of dat al die documenten publiekelijk zijn verspreid. Het laat wel zien waarom duidelijkheid over de omvang van het incident dringend nodig is. 

Wie moet worden geïnformeerd? 

Een vergunningsportaal bevat veel meer dan bedrijfsnamen en domeinnamen. Aanvragers moeten informatie verstrekken waarmee een toezichthouder hun identiteit, financiële positie en geschiktheid kan beoordelen. In de door FTM onderzochte stukken zaten volgens het platform ook paspoorten en belastinggegevens. Zulke documenten kunnen betrekking hebben op eigenaren, bestuurders en andere betrokken personen.  

De CGA heeft in haar eerste verklaring aangegeven betrokkenen te zullen informeren wanneer het onderzoek uitwijst dat hun informatie mogelijk is geraakt. Publiek is op basis van die verklaring nog niet vast te stellen wie inmiddels bericht heeft gekregen, welke gegevens per dossier zijn betrokken en welke maatregelen de toezichthouder die personen heeft aangeraden. Een volgende update van de CGA zou juist op die punten helderheid kunnen geven.  

Daarbij is een onderscheid van belang. Dat journalisten documenten hebben onderzocht, betekent niet dat alle persoonlijke gegevens online voor iedereen toegankelijk zijn gemaakt. FTM schrijft dat het vanwege de gevoelige informatie zorgvuldig met de bestanden is omgegaan. Voor iemand wiens paspoort of financiële gegevens in een buitgemaakt dossier staan, blijft de vraag echter wat er met die gegevens is gebeurd en of anderen er ook toegang toe hadden.  

De tweede kwestie: vergunningen met openstaande vragen 

De documenten brachten nog een ander onderwerp aan het licht. FTM onderzocht aanvragen en interne beoordelingen van de CGA en trof gevallen aan waarin medewerkers twijfelden aan informatie van gokbedrijven. De vragen gingen onder meer over de werkelijke eigenaren, de herkomst van vermogen en mogelijke activiteiten in landen waar een bedrijf geen lokale vergunning had. Toch volgde volgens FTM in meerdere dossiers het advies om een vergunning te verlenen, soms op voorwaarde dat het bedrijf later aanvullende informatie zou verstrekken.  

Bij Stake vroegen CGA-medewerkers zich volgens het onderzoek bijvoorbeeld af of de persoon die als eigenaar van de Curaçaose vennootschap stond vermeld, ook de enige eigenaar was. Bij 1xBet wilden beoordelaars meer duidelijkheid over mogelijke andere betrokkenen. Dat zijn vragen uit interne dossiers, geen definitieve vaststellingen dat een opgegeven eigenaar onjuist was of dat een vergunninghouder fraude pleegde.  

De CGA ontkent tegenover FTM niet dat zij vergunningen verleende terwijl er nog onduidelijkheden bestonden. De toezichthouder wijst op de overgang van het oude Curaçaose vergunningstelsel naar de nieuwe regels. Bestaande bedrijven kregen volgens haar de gelegenheid stapsgewijs aan de eisen te voldoen; niet iedere openstaande vraag hoefde direct tot een weigering te leiden.  

Die toelichting verklaart de werkwijze, maar roept een vervolgvraag op: zijn de ontbrekende antwoorden inmiddels binnengekomen en beoordeeld? De gelekte dossiers geven vooral een beeld van de stand van zaken in december 2025. Ze bewijzen niet dat dezelfde vragen in september 2026 nog steeds openstaan. Dat kan alleen de CGA per betrokken vergunning verduidelijken. 

Waarom eigenaarschap ook buiten Curaçao telt 

Weten wie een gokbedrijf daadwerkelijk bezit, is van belang wanneer een toezichthouder de integriteit van een aanvrager beoordeelt. Het speelt eveneens een rol als een bedrijf in een ander land zonder lokale vergunning actief blijkt te zijn. Een Curaçaose vergunning geeft immers geen automatische toegang tot de Nederlandse of Belgische markt. 

Qbet laat zien hoe ingewikkeld dat kan worden. De Nederlandse Kansspelautoriteit legde Novatech Solutions, het Curaçaose bedrijf achter Qbet.com en 55Bet.com, in maart 2026 een boete van €24.846.000 op wegens illegaal kansspelaanbod aan Nederlandse spelers. Tegen dat besluit is bezwaar gemaakt. Gambling Club schreef eerder over de Qbet-boete en de problemen bij het innen van sancties tegen buitenlandse aanbieders.  

Volgens FTM staat in het Curaçaose dossier van Novatech een Filipijnse vrouw als uiteindelijk belanghebbende vermeld, terwijl CGA-medewerkers vragen hadden over haar precieze rol. Nieuwe informatie over een opgegeven eigenaar kan voor toezichthouders of partijen in een rechtszaak een aanknopingspunt zijn. Zij vormt op zichzelf geen bewijs dat die persoon persoonlijk verantwoordelijk is voor de overtredingen waarvoor het bedrijf is beboet.  

Ook voor Belgische lezers is het verschil tussen een Curaçaose en een lokale vergunning relevant. Gambling Club legde eerder uit waarom Stake geen Belgische vergunning heeft. Wie een internationale goksite bezit, waar de exploitant gevestigd is en in welk land die site legaal spelers mag bedienen, zijn drie verschillende vragen.  

Kan een sanctie de mensen achter een bedrijf bereiken? 

Een naam in een vergunningsdossier kan helpen om een bedrijfsstructuur te onderzoeken. Toch volgt uit het bekend worden van een eigenaar niet automatisch dat die persoon aansprakelijk is voor het handelen van de onderneming. Daarvoor zijn de feiten, de rechtsgrond en de rol van die persoon in een specifiek dossier bepalend. 

Dat onderscheid doet niets af aan het belang van duidelijk eigenaarschap. Gambling Club beschreef eerder hoe Lalabet na juridische druk onder een andere naam verderging. Wanneer merken, domeinen of exploitanten veranderen, moeten toezichthouders kunnen achterhalen welke personen en bedrijven betrokken blijven. Het Lalabet-dossier staat los van de nu gelekte CGA-documenten, maar laat zien waarom onderzoek naar de structuur achter een goksite verder moet gaan dan de naam op de homepage.  

Daar komt de praktische kant van handhaving bij. Een boete opleggen en het bedrag daadwerkelijk innen zijn verschillende stappen, zeker wanneer ondernemingen en hun vermogen zich buiten het land van de toezichthouder bevinden. Gambling Club schreef eerder over de kloof tussen opgelegde gokboetes en geïnde bedragen. De gelekte eigenaarsinformatie kan nieuw onderzoek mogelijk maken, maar vervangt geen zorgvuldig opgebouwd handhavingsdossier.  

Welke antwoorden ontbreken nog? 

Na de publicatie van Casino Secrets liggen er voor de CGA twee afzonderlijke vragen. De eerste betreft de beveiliging: welke documenten zijn ingezien of buitgemaakt, wie zijn daardoor geraakt en wanneer krijgen zij bericht? De tweede betreft het toezicht: welke vragen over eigenaren stonden bij vergunningverlening open, welke antwoorden zijn later ontvangen en is bij sommige bedrijven nader onderzoek nodig? 

De eerste CGA-verklaring beloofde verdere updates zodra meer feiten waren vastgesteld. Een publieke reactie op de specifieke bevindingen van FTM zou laten zien hoe de toezichthouder de twee dossiers opvolgt. Tot die tijd staat vast dat er onbevoegde toegang was, dat FTM vertrouwelijke vergunningsdocumenten heeft onderzocht en dat in meerdere onderzochte aanvragen vragen over eigenaarschap bestonden. Welke gevolgen dat krijgt voor betrokken personen en bestaande vergunningen, is nog niet publiek vastgesteld.