Curaçao dépose plainte après le piratage de son portail des jeux d’argent : pourquoi cette affaire concerne aussi la Belgique 

Un portail de gestion des licences est censé permettre à une autorité de régulation de recueillir des informations confidentielles en toute sécurité. À Curaçao, c’est pourtant ce système qui s’est retrouvé au cœur d’une fuite de données. La Curaçao Gaming Authority a désormais déposé plainte auprès des autorités de trois pays et tente de faire supprimer les informations divulguées sur Internet. Cette démarche marque une nouvelle étape dans une affaire également pertinente pour la Belgique. 

La Curaçao Gaming Authority (CGA) a signalé l’incident aux autorités de Curaçao, des Pays-Bas et d’Allemagne. Le régulateur a également fait appel à des entreprises spécialisées pour limiter la diffusion des informations confidentielles. Une enquête technique indépendante devrait permettre de mieux comprendre les conséquences de l’incident. D’éventuelles actions en justice au civil sont également envisagées. 

Ces mesures visent à limiter les dommages et à rétablir la confiance des titulaires de licences. Toutefois, plusieurs questions importantes restent sans réponse : quelle quantité d’informations a été dérobée, qui a été touché et comment un accès non autorisé a-t-il pu se poursuivre pendant plusieurs mois ? 

Des plaintes dans trois pays, mais encore peu de détails juridiques 

La CGA présente les mesures prises dans un communiqué officiel consacré à la fuite de données et aux actions engagées. Selon l’autorité, il a été découvert le 17 septembre 2026 qu’une chercheuse allemande en cybersécurité avait accédé sans autorisation à son portail de gestion des licences en ligne. 

Le régulateur indique que cet accès s’est produit entre décembre 2025 et septembre 2026. Des informations confidentielles concernant les titulaires de licences auraient été consultées, extraites et rendues publiques. La CGA qualifie ces actes de criminels et souligne leurs conséquences pour les personnes et les entreprises concernées, ainsi que pour la réputation du secteur des jeux d’argent à Curaçao. 

Le communiqué ne précise pas quelles autorités sont chargées de traiter les plaintes. Il n’indique pas non plus précisément contre qui elles sont dirigées. Cette distinction est importante : l’annonce de poursuites judiciaires ne constitue pas une décision de justice établissant la culpabilité d’une personne. 

Parallèlement aux plaintes pénales, la CGA examine la possibilité d’engager des procédures civiles. Les demandes envisagées dans ce cadre n’ont pas été rendues publiques. Pour le moment, l’autorité a uniquement annoncé qu’elle étudiait ces options. 

Derrière les documents divulgués se trouvent des personnes et des entreprises 

L’incident a attiré l’attention internationale à la suite de l’intervention de la chercheuse allemande en cybersécurité Lilith Wittmann et d’enquêtes journalistiques portant sur les documents provenant du portail. Ces documents contenaient des informations sur des entreprises titulaires de licences à Curaçao ainsi que sur les personnes à la tête de ces sociétés. 

Gambling Club avait déjà consacré un article aux documents confidentiels divulgués et aux interrogations entourant les licences de Curaçao. Cet article expliquait comment les journalistes d’investigation avaient examiné non seulement les informations relatives aux propriétaires des entreprises, mais aussi des évaluations internes et des questions concernant leurs structures juridiques. 

Cette affaire est sensible à deux niveaux. Les entreprises qui demandent une licence doivent pouvoir transmettre des informations confidentielles sans risquer qu’elles soient diffusées de manière incontrôlée. Parallèlement, les documents issus d’une procédure réglementaire peuvent soulever des questions sur la manière dont les entreprises sont évaluées. 

Ces deux problématiques nécessitent des réponses distinctes. Une éventuelle faille de sécurité ne prouve pas, à elle seule, que toutes les licences délivrées étaient irrégulières. À l’inverse, les interrogations sur les pratiques d’octroi des licences ne disparaissent pas simplement parce que le régulateur conteste la manière dont les documents ont été obtenus. 

Supprimer les données divulguées ne revient pas à enquêter sur l’incident 

La CGA a fait appel à des entreprises spécialisées pour tenter de supprimer les informations confidentielles accessibles en ligne. L’objectif est de limiter leur diffusion et de protéger les personnes concernées. 

Le communiqué ne précise pas combien de demandes de suppression ont été envoyées ni combien ont abouti. L’autorité n’a pas non plus indiqué quelles informations restent disponibles sur Internet. Le recours à des spécialistes ne signifie donc pas que toutes les données divulguées ont déjà disparu. 

Une enquête technique indépendante portant sur l’impact et les conséquences de l’incident est également en cours. Il convient de la distinguer des démarches visant à retirer les informations d’Internet. Leur suppression peut limiter leur diffusion, tandis que l’enquête technique doit permettre de déterminer ce qui s’est produit et quelles améliorations sont nécessaires. 

Ces deux démarches sont importantes pour les entreprises et les personnes touchées. Elles ont besoin non seulement de réduire la visibilité de leurs documents, mais aussi de comprendre précisément quelles informations ont été compromises. Une communication générale concernant une fuite de données ne fournit pas encore de réponse individuelle à cette question. 

Pourquoi un prestataire externe gérait le portail 

Dans son communiqué, la CGA explique également pourquoi elle avait choisi un portail de gestion des licences administré par un prestataire externe. Selon le régulateur, la réforme du secteur des jeux d’argent à Curaçao nécessitait une expertise spécialisée en matière de technologie, d’octroi de licences et de surveillance réglementaire. 

L’autorité affirme que le recours à des experts externes était nécessaire pour accompagner cette transition. Selon la CGA, l’objectif était de passer ultérieurement à un système géré en interne. Elle maintient que la responsabilité de l’octroi des licences et de la surveillance réglementaire est toujours restée entre ses mains. 

Cette explication permet de mieux comprendre l’organisation du système, mais elle ne répond pas à toutes les questions concernant sa sécurité. Quels accords avaient été conclus avec le prestataire ? Comment les autorisations d’accès étaient-elles contrôlées ? Quels signaux d’alerte auraient pu permettre de détecter plus tôt les activités non autorisées ? Le communiqué publié ne fournit pas de réponses complètes. 

La CGA indique également avoir recruté quatorze employés depuis le début du processus de réforme, principalement dans les domaines de l’octroi des licences, de la supervision et du contrôle de leur respect. L’autorité souhaite ainsi développer son expertise interne et réduire sa dépendance envers les consultants externes. 

Fin de la collaboration avec Random Consulting 

La collaboration avec Random Consulting, une entreprise liée à Mario Galea, ancien directeur de la Malta Gaming Authority, a pris fin. Le portail concerné ne sera pas remis en ligne. La CGA a plutôt choisi de mettre en place une solution temporaire avant de développer un nouveau système qu’elle gérera elle-même. 

Des questions avaient déjà été soulevées concernant les paiements et les responsabilités des prestataires externes. Cette controverse constitue un dossier distinct. Sans les conclusions d’une enquête, il est impossible d’établir que les interrogations financières concernant un fournisseur expliquent également la fuite de données. 

Il en va de même pour les pressions politiques exercées sur le régulateur. Le ministre des Finances de Curaçao, Charles Cooper, avait précédemment annoncé son intention de déposer plainte contre la CGA, mais attendrait, selon les informations disponibles, les résultats des investigations. Cette démarche est distincte des plaintes déposées par la CGA elle-même à la suite de la fuite de données. 

Il est important pour les lecteurs de distinguer ces différentes procédures. Une enquête sur des paiements, une enquête sur des accès informatiques et d’éventuelles poursuites judiciaires contre des personnes impliquées peuvent se recouper, mais elles ne portent pas automatiquement sur les mêmes faits et ne conduisent pas nécessairement aux mêmes conclusions. 

Un portail temporaire prévu pour le 19 octobre 

La CGA prévoyait de lancer un portail temporaire de gestion des licences le lundi 19 octobre 2026. Le registre des licences et le système de sceaux numériques devaient également être disponibles à cette date, selon le calendrier annoncé. 

Le communiqué officiel évoque une mise en service prévue. Il ne confirme donc pas, à lui seul, que tous les éléments sont effectivement devenus opérationnels à cette date. L’autorité précise toutefois que des spécialistes indépendants doivent effectuer des contrôles de sécurité et que le portail destiné aux clients nécessitait encore certaines adaptations. 

Pour les titulaires de licences existantes, la CGA transmet un message clair : la fermeture de l’ancien portail n’invalide pas leurs licences. Les entreprises doivent continuer à respecter leurs obligations. L’infrastructure administrative change, mais les responsabilités réglementaires restent en vigueur. 

Cela ne signifie pas pour autant que toutes les licences sont incontestables. Le communiqué concerne les conséquences de la fermeture du portail sur les licences existantes. Il ne constitue pas une réévaluation individuelle et approfondie de toutes les entreprises opérant sous la supervision de Curaçao. 

Quelles conséquences pour la Belgique ? 

Pour les joueurs belges, la distinction principale est simple : une licence délivrée à Curaçao ne remplace pas une licence accordée par la Commission des jeux de hasard belge. Un sceau de licence international ne donne pas automatiquement à un site de jeux d’argent le droit de proposer ses services en Belgique. 

Toute personne souhaitant vérifier quels opérateurs sont soumis à la réglementation belge peut consulter le site officiel de la Commission des jeux de hasard. Il faut distinguer la question de savoir si une entreprise possède une licence à l’étranger de celle de savoir si elle est autorisée à opérer sur le marché belge. 

Gambling Club avait déjà expliqué cette distinction dans son article consacré au statut légal de Stake en Belgique. La notoriété internationale, les grands contrats de sponsoring ou un enregistrement à l’étranger ne remplacent pas l’autorisation belge obligatoire. 

Le rétablissement annoncé du portail de Curaçao ne modifie donc pas cette règle fondamentale. Même lorsque le registre sera de nouveau disponible et que les sceaux numériques fonctionneront correctement, une vérification distincte de la licence belge restera nécessaire. 

Un site de jeux d’argent accessible n’est pas nécessairement autorisé 

Pour les joueurs, l’accessibilité d’un site et sa légalité peuvent facilement être confondues. Un site Internet s’ouvre, un formulaire d’inscription apparaît et un logo de licence figure en bas de page. Cela peut donner l’impression que tout est en règle pour le marché belge. 

Gambling Club avait précédemment examiné comment des sites de jeux d’argent illégaux peuvent rester accessibles malgré les mesures de blocage. Cet article explique pourquoi l’accès technique à un site ne constitue pas un indicateur fiable pour déterminer si un opérateur est autorisé en Belgique. 

L’affaire de la CGA soulève une autre question : quelles informations un registre des licences fournit-il exactement ? Un registre peut indiquer qu’une entreprise possède une licence délivrée par un régulateur particulier. Il ne lui accorde pas une autorisation générale d’exercer dans tous les pays où son site est accessible. 

Cette fuite de données ne prouve pas non plus que les bases de données des joueurs de tous les casinos titulaires d’une licence à Curaçao ont été piratées. L’incident décrit concerne le portail de gestion des licences du régulateur. Sans conclusions supplémentaires, aucune généralisation ne peut être faite concernant les systèmes utilisés par l’ensemble des entreprises de jeux d’argent concernées. 

Les prochaines étapes devraient apporter davantage de réponses 

La CGA a désormais annoncé des mesures juridiques, techniques et organisationnelles. Les plaintes pénales, les demandes de suppression des données et la transition vers un autre portail démontrent l’ampleur des conséquences de l’incident. 

Il manque encore une vision complète des données touchées et les conclusions de l’enquête indépendante. Il reste également à déterminer quelles améliorations concrètes seront mises en place pour éviter qu’un tel incident ne se reproduise et comment les personnes concernées seront informées. 

Pour la Belgique, il s’agit avant tout d’une affaire qui mérite d’être suivie attentivement. Elle soulève des questions sur la transparence des entreprises internationales de jeux d’argent, la protection des informations confidentielles et les limites des licences étrangères. En définitive, le rétablissement de la confiance nécessitera des améliorations démontrables et des réponses vérifiables.