● CGA bevestigt datalek · aangifte in drie landen · Datalek · Bijgewerkt 20 oktober 2026
De Curaçao Gaming Authority heeft aangifte gedaan bij de autoriteiten in Curaçao, Nederland en Duitsland na een datalek bij haar vergunningenportaal. Achter de toegang zit volgens de CGA de Duitse beveiligingsonderzoeker Lilith Wittmann, die negen maanden lang documenten kon inzien over honderden gokbedrijven en hun eigenaren.
- Wat
- CGA heeft aangifte gedaan in Curaçao, Nederland en Duitsland na een langdurig datalek bij het vergunningenportaal
- Dader
- Duitse beveiligingsonderzoeker Lilith Wittmann
- Hoe binnen
- Registreerde met een valse identiteit en een verzonnen bedrijf, en kreeg zo toegang tot het vergunningenportaal
- Wanneer
- Datalek ontdekt op 17 september 2026, aangifte bekendgemaakt op 20 oktober 2026
- Getroffen
- Schatting 650 organisaties bijna 650 Curaçao-vergunde gokbedrijven staan in de gelekte documenten
- Schatting 800 personen ongeveer 800 eigenaren van de gokbedrijven kwamen naar voren uit de data
- Schatting 31 personen 31 van de 40 geïdentificeerde vertegenwoordigers van de gokbedrijven hebben een Nederlands paspoort
- Nederlanders geraakt?
- Ja Van de 40 geïdentificeerde vertegenwoordigers van de gokbedrijven in de gelekte data hebben er 31 een Nederlands paspoort
- Gegevens
- Gelekt Gevoelig paspoorten
- Gelekt Gevoelig belastingaangiften en financiële informatie
- Gelekt namen van eigenaren en vergunningaanvragen
- Onderzoek
- Forensisch onderzoek naar de volledige omvang loopt nog
- Rechtszaak
- CGA overweegt een rechtszaak tegen de onderzoeker
Wat is er gebeurd bij Curaçao Gaming Authority?
De Curaçao Gaming Authority (CGA) heeft aangifte gedaan bij de autoriteiten in Curaçao, Nederland en Duitsland na een langdurig datalek bij het vergunningenportaal. Dat maakte de toezichthouder op 20 oktober 2026 bekend.
De CGA ontdekte op 17 september 2026 dat een account met een valse identiteit al sinds december 2025 toegang had tot het portaal. Achter dat account zat de Duitse beveiligingsonderzoeker Lilith Wittmann uit Berlijn. Zij registreerde zich onder de naam van een trustkantoormedewerker die al bekend was bij de CGA, met haar eigen Gmail-adres en een verzonnen bedrijf, en kon zo dieper de systemen binnendringen.
Wittmann en haar medewerkers bemachtigden tienduizenden vertrouwelijke documenten. Daarin staan gegevens van ongeveer 800 eigenaren van bijna 650 gokbedrijven met een Curaçaose licentie, waaronder paspoorten, belastingaangiften en financiële informatie. Van de 40 geïdentificeerde vertegenwoordigers van die bedrijven hebben er 31 een Nederlands paspoort, blijkt uit onderzoek van Follow the Money.
De CGA zegt de toegang te hebben afgesloten en liet het bestaande vergunningenportaal op 7 oktober 2026 definitief sluiten. Op 19 oktober 2026 opende de toezichthouder een tijdelijk portaal. Naast de aangiftes overweegt de CGA ook een rechtszaak tegen de onderzoeker.
Het laat juist zien waarom digitale veiligheid voortdurend aandacht nodig heeft
de Curaçao Gaming Authority
Zijn er gegevens van Nederlanders gelekt bij de Curaçao Gaming Authority?
Ja. Uit onderzoek van Follow the Money blijkt dat de gokbedrijven met een Curaçaose vergunning in de gelekte documenten werden vertegenwoordigd door 40 unieke personen, van wie 31 een Nederlands paspoort hebben.
In de buitgemaakte documenten zitten paspoorten, belastingaangiften en andere financiële informatie, naast namen van eigenaren, vergunningaanvragen en de beoordelingen die de CGA daarover maakte.
Het is nog niet bekend of de CGA alle getroffen personen persoonlijk heeft ingelicht. De toezichthouder zegt dat het forensisch onderzoek naar de volledige omvang van het datalek nog loopt.
Wie zit achter de hack bij de Curaçao Gaming Authority en hoe kwam ze binnen?
Achter de toegang zit de Duitse beveiligingsonderzoeker Lilith Wittmann uit Berlijn. Zij meldde op 22 september 2026 op sociale media dat zij en haar medewerkers negen maanden lang toegang hadden tot interne systemen van de CGA.
Wittmann registreerde zich in december 2025 onder de naam van een trustkantoormedewerker die al bekend was bij de toezichthouder, maar gebruikte daarbij haar eigen Gmail-adres en een verzonnen bedrijf. Na goedkeuring van het account kon ze dieper de systemen binnendringen en documenten uit het vergunningenportaal halen.
De CGA zegt de toegang inmiddels te hebben afgesloten en overweegt naast de aangiftes in Curaçao, Nederland en Duitsland ook een rechtszaak tegen de onderzoeker.
Wat moet je doen als jouw gegevens in het datalek van de Curaçao Gaming Authority staan?
Staan je paspoort- of belastinggegevens mogelijk in de gelekte documenten, bijvoorbeeld omdat je eigenaar of vertegenwoordiger bent van een Curaçaos gokbedrijf? Neem dan deze stappen.
Lees ook wanneer en hoe een datalek gemeld moet worden, zodat je weet wat bedrijven en toezichthouders verplicht zijn te doen na een incident als dit.
- Let extra op phishingmails of telefoontjes die zich voordoen als de CGA, een trustkantoor of een advocaat die over het datalek belt.
- Houd je bankafschriften en belastingaangiften in de gaten op vreemde activiteiten, want financiële gegevens zaten in de buitgemaakte documenten.
- Wees alert op identiteitsfraude nu je paspoortgegevens mogelijk zijn gelekt: meld misbruik van je paspoort direct bij de politie.
- Lees wat je doet na een datalek voor meer concrete stappen.
Bronnen: nu.cw, Casino.org, Follow the Money, Curacao.nu