Curaçao doet aangifte na gokhack: waarom dit ook voor België telt 

Een vergunningenportaal hoort de plek te zijn waar een toezichthouder vertrouwelijke informatie veilig verzamelt. Op Curaçao werd juist dat systeem het middelpunt van een datalek. De Curaçao Gaming Authority heeft inmiddels aangifte gedaan bij autoriteiten in drie landen en probeert gelekte informatie van het internet te laten verwijderen. Daarmee begint een nieuwe fase in een dossier dat ook voor België relevant is. 

De Curaçao Gaming Authority (CGA) heeft het incident gemeld bij autoriteiten in Curaçao, Nederland en Duitsland. Daarnaast schakelde de toezichthouder gespecialiseerde bedrijven in om de verspreiding van vertrouwelijke gegevens tegen te gaan. Een onafhankelijk technisch onderzoek moet meer duidelijkheid geven over de gevolgen. Ook mogelijke civiele juridische stappen worden onderzocht. 

Het zijn maatregelen waarmee de CGA de schade wil beperken en het vertrouwen van vergunninghouders wil herstellen. Tegelijk blijven belangrijke vragen onbeantwoord: hoeveel informatie is precies buitgemaakt, wie is getroffen en hoe kon de ongeoorloofde toegang maandenlang voortduren? 

Aangiftes in drie landen, maar nog weinig juridische details 

De CGA beschrijft haar maatregelen in een officiële verklaring over het datalek en de vervolgstappen. Daarin stelt de autoriteit dat op 17 september 2026 werd ontdekt dat een Duitse beveiligingsonderzoeker zonder toestemming toegang had gekregen tot het online vergunningenportaal. 

Volgens de toezichthouder vond die toegang plaats tussen december 2025 en september 2026. Vertrouwelijke informatie van vergunninghouders werd ingezien, meegenomen en openbaar gemaakt. De CGA kwalificeert het handelen als strafbaar en benadrukt de gevolgen voor betrokken personen, bedrijven en de reputatie van de Curaçaose goksector. 

Welke instanties de aangiftes behandelen, vermeldt de verklaring niet. Ook wordt niet uitgelegd tegen wie de aangiftes precies zijn gericht. Dat onderscheid is belangrijk: de aankondiging van juridische stappen is geen rechterlijke vaststelling dat iemand schuldig is. 

Naast de strafrechtelijke route onderzoekt de CGA of civiele procedures mogelijk zijn. Welke vorderingen daarbij worden overwogen, is niet bekendgemaakt. Voorlopig blijft het dus bij een aangekondigd onderzoek naar die mogelijkheden. 

Achter de gelekte documenten zitten mensen en bedrijven 

Het incident kreeg internationale aandacht door de Duitse beveiligingsonderzoeker Lilith Wittmann en journalistiek onderzoek naar documenten uit het portaal. De stukken bevatten informatie over ondernemingen met een Curaçaose vergunning en de personen achter die bedrijven. 

Gambling Club beschreef eerder de gelekte gokdossiers en de vragen rond Curaçaose vergunningen. Daarin kwam aan bod dat onderzoeksjournalisten niet alleen eigendomsgegevens bekeken, maar ook interne beoordelingen en vragen over bedrijfsstructuren. 

Dat maakt het dossier gevoelig op twee niveaus. Vergunningaanvragers moeten vertrouwelijke informatie kunnen indienen zonder dat die ongecontroleerd wordt verspreid. Tegelijk kunnen documenten uit een toezichtsprocedure vragen oproepen over de manier waarop bedrijven worden beoordeeld. 

Die onderwerpen verdienen elk een afzonderlijk antwoord. Een mogelijk beveiligingsfalen zegt op zichzelf niets over de juistheid van iedere verleende vergunning. Omgekeerd verdwijnen vragen over vergunningverlening niet doordat de toezichthouder bezwaar maakt tegen de manier waarop documenten zijn verkregen. 

Gegevens verwijderen is een andere opdracht dan onderzoek doen 

De CGA heeft gespecialiseerde bedrijven ingeschakeld om vertrouwelijke informatie die online beschikbaar is te laten verwijderen. Daarmee wil zij verdere verspreiding beperken en betrokkenen beschermen. 

Uit de verklaring blijkt niet hoeveel verwijderverzoeken zijn verstuurd of hoeveel daarvan resultaat hebben opgeleverd. Ook is niet bekendgemaakt welke gegevens nog online staan. Het inschakelen van specialisten betekent dus niet dat de gelekte informatie inmiddels volledig is verdwenen. 

Daarnaast loopt een onafhankelijk technisch onderzoek naar de impact en gevolgen van het incident. Dat moet worden onderscheiden van de pogingen om gegevens offline te halen. Verwijdering beperkt mogelijk de verdere verspreiding; technisch onderzoek moet duidelijk maken wat er is gebeurd en welke verbeteringen nodig zijn. 

Voor getroffen bedrijven en personen zijn beide trajecten van belang. Zij hebben niet alleen behoefte aan minder zichtbaarheid van hun documenten, maar ook aan duidelijkheid over welke informatie is geraakt. Een algemene mededeling over een datalek geeft daarop nog geen individueel antwoord. 

Waarom een externe partij het portaal beheerde 

In haar verklaring licht de CGA ook toe waarom zij voor een extern beheerd vergunningenportaal koos. Volgens de toezichthouder vereiste de hervorming van de Curaçaose goksector specialistische kennis van technologie, vergunningverlening en toezicht. 

De autoriteit stelt dat externe deskundigen nodig waren om die verandering te ondersteunen. Het was volgens de CGA de bedoeling om later over te stappen naar een systeem dat zij zelf zou beheren. De verantwoordelijkheid voor vergunningverlening en toezicht bleef naar eigen zeggen steeds bij de autoriteit. 

Die toelichting geeft context bij de inrichting van het systeem, maar beantwoordt nog niet alle vragen over de beveiliging. Welke afspraken golden met de leverancier? Hoe werden toegangsrechten gecontroleerd? En welke signalen hadden eerder kunnen wijzen op ongeoorloofd gebruik? De gepubliceerde verklaring biedt daarop geen volledige antwoorden. 

De CGA meldt verder dat sinds de start van de hervorming veertien medewerkers zijn aangenomen, voornamelijk voor vergunningverlening, toezicht en handhaving. Daarmee wil zij eigen deskundigheid opbouwen en de afhankelijkheid van externe adviseurs verminderen. 

Samenwerking met Random Consulting beëindigd 

De samenwerking met Random Consulting, het bedrijf dat verbonden is aan voormalig Malta Gaming Authority-directeur Mario Galea, is beëindigd. Het getroffen portaal keert niet terug. De CGA kiest voor een tijdelijke oplossing en wil daarna een nieuw systeem in eigen beheer ontwikkelen. 

Rond de samenwerking met externe partijen bestonden al vragen over betalingen en verantwoordelijkheden. Die discussie vormt een afzonderlijk dossier. Zonder onderzoeksresultaten kan niet worden vastgesteld dat financiële vragen rond een leverancier ook een verklaring geven voor het datalek. 

Hetzelfde geldt voor de politieke druk op de toezichthouder. De Curaçaose minister van Financiën, Charles Cooper, had eerder aangekondigd aangifte tegen de CGA te willen doen, maar wacht volgens de berichtgeving op onderzoeksresultaten. Dat staat los van de aangiftes die de CGA zelf na het datalek heeft gedaan. 

Voor lezers is het belangrijk die procedures uit elkaar te houden. Een onderzoek naar betalingen, een onderzoek naar digitale toegang en mogelijke juridische stappen tegen betrokkenen kunnen elkaar raken, maar hebben niet automatisch dezelfde feiten of uitkomst. 

Tijdelijk portaal aangekondigd voor 19 oktober 

De CGA plande de ingebruikname van een tijdelijk vergunningenportaal op maandag 19 oktober 2026. Ook het vergunningenregister en het systeem voor digitale vergunningzegels zouden volgens die planning beschikbaar komen. 

De officiële verklaring spreekt over een geplande start. Zij biedt daarmee op zichzelf geen bevestiging dat alle onderdelen daadwerkelijk op die datum operationeel zijn geworden. Wel beschrijft de autoriteit dat onafhankelijke specialisten beveiligingscontroles moeten uitvoeren en dat het klantenportaal nog aanpassingen vergde. 

Voor bestaande vergunninghouders geeft de CGA een duidelijke boodschap: het sluiten van het oude portaal maakt hun vergunningen niet ongeldig. Bedrijven moeten hun verplichtingen blijven nakomen. De administratieve infrastructuur verandert, maar de toezichtsverplichtingen verdwijnen daardoor niet. 

Dat betekent evenmin dat iedere vergunning onaantastbaar is. De verklaring gaat over de gevolgen van de portaalstop voor bestaande vergunningen. Zij is geen afzonderlijke inhoudelijke herbeoordeling van alle ondernemingen die onder Curaçaos toezicht vallen. 

Wat betekent dit voor België? 

Voor Belgische spelers is het belangrijkste onderscheid eenvoudig: een Curaçaose vergunning vervangt geen vergunning van de Belgische Kansspelcommissie. Een internationaal vergunningzegel geeft een goksite niet automatisch het recht om haar aanbod in België te exploiteren. 

Wie wil nagaan welke aanbieders onder Belgisch toezicht vallen, kan daarvoor terecht bij de officiële website van de Kansspelcommissie. De vraag of een onderneming elders een vergunning heeft, moet worden gescheiden van de vraag of zij op de Belgische markt mag opereren. 

Gambling Club legde dat onderscheid eerder uit in het artikel over de vergunningstatus van Stake in België. Internationale bekendheid, grote sponsorcontracten of een buitenlandse registratie vormen geen vervanging voor de vereiste Belgische toelating. 

Daarom verandert het aangekondigde herstel van het Curaçaose portaal niets aan die basisregel. Ook wanneer het register opnieuw beschikbaar is en digitale zegels correct functioneren, blijft een aparte controle op de Belgische vergunning nodig. 

Een bereikbare goksite is niet automatisch een toegelaten goksite 

Voor spelers lopen bereikbaarheid en legaliteit gemakkelijk door elkaar. Een website opent, een registratieformulier verschijnt en een vergunninglogo staat onderaan de pagina. Dat kan de indruk wekken dat alles voor de Belgische markt geregeld is. 

Gambling Club onderzocht eerder hoe illegale goksites ondanks blokkeringen bereikbaar kunnen blijven. Dat artikel beschrijft waarom technische toegang geen betrouwbare maatstaf is om te bepalen of een aanbieder in België is toegestaan. 

Het CGA-dossier voegt daar een andere vraag aan toe: welke informatie biedt een vergunningregister precies? Een register kan laten zien dat een onderneming een vergunning van een bepaalde toezichthouder heeft. Het geeft geen algemene toestemming voor activiteiten in ieder land waar de website bereikbaar is. 

Evenmin bewijst dit datalek dat de spelersdatabase van ieder Curaçaos casino is gehackt. Het beschreven incident betreft het vergunningenportaal van de toezichthouder. Zonder aanvullende vaststellingen mag daaruit geen algemene conclusie worden getrokken over de systemen van alle betrokken gokbedrijven. 

De volgende stap moet meer duidelijkheid brengen 

De CGA heeft inmiddels juridische, technische en organisatorische maatregelen aangekondigd. De aangiftes, verwijderverzoeken en overstap naar een ander portaal laten zien hoe breed de gevolgen van het incident zijn. 

Wat nog ontbreekt, is een volledig beeld van de getroffen gegevens en de uitkomsten van het onafhankelijke onderzoek. Ook moet duidelijk worden welke concrete verbeteringen herhaling moeten voorkomen en hoe betrokkenen worden geïnformeerd. 

Voor België is dit vooral een dossier om zorgvuldig te blijven volgen. Het raakt aan transparantie over internationale gokbedrijven, de bescherming van vertrouwelijke gegevens en de grenzen van buitenlandse vergunningen. Het vertrouwen zal uiteindelijk moeten komen van aantoonbare verbeteringen en controleerbare antwoorden.