Curaçao enquête sur un piratage lié aux jeux d’argent : que va-t-il advenir des dossiers divulgués et des licences contestées ? 

Le 17 septembre, la Curaçao Gaming Authority (CGA) a annoncé qu’une personne avait accédé sans autorisation à son portail en ligne consacré aux jeux d’argent. À ce moment-là, le régulateur indiquait ne pas encore savoir quelles informations avaient été consultées. Cinq jours plus tard, Follow the Money (FTM) a publié les résultats d’une enquête fondée sur des dizaines de milliers de documents obtenus via ce système. 

L’affaire dépasse donc désormais le simple incident de sécurité. Les documents contiennent des données sensibles concernant les personnes derrière des sociétés de jeux d’argent, mais aussi des évaluations internes dans lesquelles des employés de la CGA soulevaient des questions sur la propriété des entreprises et l’origine des fonds. Selon FTM, certaines sociétés ont malgré tout obtenu une licence. La question est maintenant de savoir comment la CGA va traiter ces deux problèmes : qui sera informé au sujet des données compromises, et les licences concernées seront-elles réexaminées ? 

Qu’a déclaré la CGA au sujet de l’accès à son portail ? 

Dans sa déclaration du 17 septembre, la CGA a confirmé qu’un accès non autorisé à son portail en ligne avait eu lieu. Selon le régulateur, cet accès avait été bloqué et sa source identifiée. Un prestataire externe avait commencé une enquête d’informatique légale afin de déterminer précisément ce qui s’était passé. 

À ce stade, la CGA n’était pas encore en mesure de déterminer quelles informations avaient été consultées ni quelles pourraient être les conséquences. Le régulateur indiquait également que l’enquête n’avait jusque-là révélé aucun indice laissant penser que son infrastructure technique principale avait été compromise. Cela ne permet toutefois pas de savoir si des documents présents sur le portail ont été consultés ou emportés : c’était précisément l’une des questions auxquelles l’enquête devait encore répondre. 

La CGA s’est engagée à informer directement les personnes, demandeurs, titulaires de licence et autres parties concernées si l’enquête montre que leurs données ont pu être affectées. Elle a également annoncé des contrôles et des mesures de sécurité supplémentaires. La déclaration ne précisait pas encore combien de dossiers avaient été touchés, quelles parties avaient déjà été informées ni quand une nouvelle mise à jour serait publiée. 

Des chercheurs ont examiné des milliers de documents confidentiels 

L’enquête publiée par FTM le 22 septembre donne une image plus concrète des informations rendues accessibles via le système. Selon FTM, la chercheuse allemande en cybersécurité Lilith Wittmann a obtenu l’accès au portail des licences à la fin de l’année 2025 et récupéré des dizaines de milliers de documents. La plateforme d’investigation a analysé ces fichiers avec plusieurs médias partenaires internationaux dans le cadre du projet Casino Secrets. 

Selon FTM, les documents concernent 646 sociétés de jeux d’argent titulaires d’une licence à Curaçao. Ils comprennent notamment des demandes de licence, les noms des bénéficiaires effectifs, des structures d’entreprise, des passeports, des informations fiscales et des déclarations financières. Pour son enquête, FTM s’est appuyé sur des documents obtenus par Wittmann en décembre 2025. Il s’agit également de la date de référence pour les conclusions concernant les licences. 

Cela change sensiblement la nature du débat public. Le 17 septembre, la CGA cherchait encore à déterminer quelles données avaient éventuellement été consultées. Quelques jours plus tard, FTM décrivait les types de documents confidentiels que les enquêteurs avaient effectivement reçus et analysés. Cela ne signifie pas que chaque personne ou entreprise concernée soit désormais identifiée, ni que tous ces documents aient été rendus accessibles au public. Cela montre toutefois pourquoi il est urgent d’obtenir des précisions sur l’ampleur de l’incident. 

Qui doit être informé ? 

Un portail de licences contient bien plus que des noms de sociétés et des noms de domaine. Les demandeurs doivent fournir des informations permettant au régulateur d’évaluer leur identité, leur situation financière et leur aptitude. Selon FTM, les documents examinés comprenaient également des passeports et des informations fiscales. Ces documents peuvent concerner des propriétaires, des administrateurs et d’autres personnes impliquées. 

Dans sa première déclaration, la CGA a indiqué qu’elle informerait les parties concernées si l’enquête concluait que leurs informations avaient pu être compromises. Sur la base de cette déclaration, il n’est pas encore possible de déterminer publiquement qui a depuis été informé, quelles données étaient concernées dans chaque dossier ni quelles mesures le régulateur a conseillé à ces personnes de prendre. Une prochaine mise à jour de la CGA pourrait précisément apporter des éclaircissements sur ces points. 

Une distinction importante doit par ailleurs être faite. Le fait que des journalistes aient examiné les documents ne signifie pas que toutes les données personnelles ont été rendues librement accessibles en ligne. FTM affirme avoir traité les fichiers avec prudence en raison du caractère sensible des informations qu’ils contenaient. Pour une personne dont le passeport ou les données financières figurent dans un dossier compromis, la question reste toutefois de savoir ce qu’il est advenu de ces données et si d’autres personnes y ont également eu accès. 

Deuxième problème : des licences avec des questions restées en suspens 

Les documents ont également mis en lumière un autre sujet. FTM a examiné des demandes de licence ainsi que des évaluations internes de la CGA et a découvert des cas dans lesquels des employés mettaient en doute certaines informations fournies par des sociétés de jeux d’argent. Les interrogations concernaient notamment les véritables propriétaires, l’origine des fonds et d’éventuelles activités dans des pays où l’entreprise ne disposait pas d’une licence locale. Pourtant, selon FTM, plusieurs dossiers ont malgré tout abouti à une recommandation d’accorder une licence, parfois à condition que l’entreprise fournisse ultérieurement des informations supplémentaires. 

Dans le cas de Stake, par exemple, des employés de la CGA se seraient demandé si la personne indiquée comme propriétaire de l’entité basée à Curaçao en était également l’unique propriétaire. Pour 1xBet, les évaluateurs souhaitaient davantage de clarté sur d’éventuelles autres personnes impliquées. Il s’agit de questions figurant dans des dossiers internes, et non de conclusions définitives selon lesquelles un propriétaire déclaré serait incorrect ou qu’un titulaire de licence aurait commis une fraude. 

Dans sa réponse à FTM, la CGA ne nie pas avoir délivré des licences alors que certaines incertitudes subsistaient. Le régulateur invoque la transition entre l’ancien système de licences de Curaçao et les nouvelles règles. Selon la CGA, les entreprises déjà actives ont eu la possibilité de se conformer progressivement aux exigences ; chaque question restée ouverte ne devait donc pas nécessairement entraîner un refus immédiat. 

Cette explication permet de comprendre la procédure, mais elle soulève une nouvelle question : les réponses manquantes ont-elles depuis été fournies et évaluées ? Les dossiers divulgués donnent principalement une image de la situation en décembre 2025. Ils ne prouvent pas que les mêmes questions étaient encore sans réponse en septembre 2026. Seule la CGA peut le préciser pour chacune des licences concernées. 

Pourquoi la propriété des entreprises compte aussi en dehors de Curaçao 

Savoir qui possède réellement une société de jeux d’argent est important lorsqu’un régulateur évalue l’intégrité d’un demandeur. Cela joue également un rôle lorsqu’une entreprise s’avère active dans un autre pays sans disposer d’une licence locale. Une licence délivrée à Curaçao ne donne en effet pas automatiquement accès aux marchés néerlandais ou belge. 

Qbet montre à quel point la situation peut devenir complexe. En mars 2026, l’autorité néerlandaise des jeux d’argent a infligé une amende de 24 846 000 euros à Novatech Solutions, la société basée à Curaçao derrière Qbet.com et 55Bet.com, pour avoir proposé illégalement des jeux d’argent à des joueurs néerlandais. Une objection a été introduite contre cette décision. Gambling Club avait déjà consacré un article à l’amende infligée à Qbet et aux difficultés liées au recouvrement de sanctions contre des opérateurs étrangers. 

Selon FTM, le dossier de Novatech à Curaçao mentionne une femme philippine comme bénéficiaire effective, alors que des employés de la CGA s’interrogeaient sur son rôle exact. De nouvelles informations concernant un propriétaire déclaré peuvent fournir une piste aux régulateurs ou aux parties dans une procédure judiciaire. Elles ne constituent toutefois pas, à elles seules, une preuve que cette personne est personnellement responsable des infractions pour lesquelles l’entreprise a été sanctionnée. 

Pour les lecteurs belges également, la distinction entre une licence de Curaçao et une licence locale est importante. Gambling Club a déjà expliqué pourquoi Stake ne possède pas de licence belge. Savoir qui possède un site international de jeux d’argent, où l’opérateur est établi et dans quels pays ce site peut légalement proposer ses services aux joueurs sont trois questions distinctes. 

Une sanction peut-elle atteindre les personnes derrière une entreprise ? 

Un nom figurant dans un dossier de licence peut aider à examiner la structure d’une entreprise. Toutefois, le simple fait d’identifier un propriétaire ne signifie pas automatiquement que cette personne est responsable des actes de l’entreprise. Cela dépend des faits, du fondement juridique et du rôle de cette personne dans le dossier concerné. 

Cette distinction ne diminue en rien l’importance d’une propriété clairement établie. Gambling Club a déjà expliqué comment Lalabet avait poursuivi ses activités sous un autre nom après des pressions judiciaires. Lorsque des marques, des noms de domaine ou des opérateurs changent, les régulateurs doivent pouvoir déterminer quelles personnes et quelles entreprises restent impliquées. Le dossier Lalabet est distinct des documents de la CGA aujourd’hui divulgués, mais il montre pourquoi une enquête sur la structure derrière un site de jeux d’argent doit aller plus loin que le nom affiché sur sa page d’accueil. 

Il faut également tenir compte de l’aspect pratique de l’application des sanctions. Infliger une amende et parvenir réellement à en recouvrer le montant sont deux étapes différentes, en particulier lorsque les entreprises et leurs avoirs se trouvent en dehors du pays du régulateur. Gambling Club a déjà évoqué l’écart entre les amendes infligées dans le secteur des jeux d’argent et les montants effectivement récupérés. Les informations divulguées sur la propriété des entreprises peuvent ouvrir de nouvelles pistes d’enquête, mais elles ne remplacent pas un dossier d’application de la loi soigneusement constitué. 

Quelles questions restent encore sans réponse ? 

Après la publication de Casino Secrets, la CGA fait face à deux séries de questions distinctes. La première concerne la sécurité : quels documents ont été consultés ou récupérés, qui a été touché et quand ces personnes seront-elles informées ? La seconde concerne la surveillance réglementaire : quelles questions sur les propriétaires restaient en suspens au moment de l’octroi des licences, quelles réponses ont été reçues par la suite, et certaines entreprises nécessitent-elles une enquête complémentaire ? 

La première déclaration de la CGA promettait de nouvelles mises à jour dès que davantage de faits auraient été établis. Une réaction publique aux conclusions précises de FTM permettrait de comprendre comment le régulateur compte assurer le suivi de ces deux dossiers. En attendant, il est établi qu’un accès non autorisé a eu lieu, que FTM a examiné des documents confidentiels liés aux licences et que des questions concernant la propriété figuraient dans plusieurs des demandes examinées. Les conséquences pour les personnes concernées et pour les licences existantes n’ont toutefois pas encore été établies publiquement.