キュラソーのデータ侵害：ハッカー Lilith Wittmann がカジノの UBO 公開を脅迫

オフショア・ギャンブル界はデジタル・エイクワークで揺れている。長年、カリブ海の島キュラソーは、世界のギャンブル運営者にとって匿名の要塞として機能してきたが、その時代は終わりを告げるかもしれない。政府のセキュリティ上の欠陥を暴露することで知られるドイツのIT活動家、Lilith Wittmann が、キュラソー・ゲーミング・オーソリティ（CGA）への侵入に成功したと発表した。これは小規模な漏洩ではなく、規制システムの内部構造の包括的な暴露であり、数十億ドル規模のオフショア産業のベールを剥がすことを脅かしている。

Wittmann は、2025年12月にCGAのサーバーに侵入し、9ヶ月間、規制当局の業務をリアルタイムで監視していたと主張している。重要なのは、同氏がライセンスを受けた事業体の最終受益者（UBO）に関する情報を現在保持していると主張していることである。5カ国のメディアアウトレットにわたる連携リリースで、同氏はすでに1Xbet、Stake.com、SoftSwiss、Platinum Casinoなどの主要運営者に関する詳細を明らかにしている。キュラソーの透明性の欠如を頼りに、長年身元を隠してきた個人にとって、その影響は深刻である。

数字と事実

脆弱性の規模は驚くべきものである。Wittmann は、セキュリティ上の欠陥を特定し、悪用して完全な管理者アクセス権を取得するのに8時間もかからなかったと述べている。これにより、当局に提出されたすべてのライセンス申請、財務書類、内部プロセスを閲覧することができた。この地域における他の最近の失敗、例えば2025年5月に540ユーザーの認証情報を含むPDFが漏洩したMyStake Casinoの侵害も、追加の文脈を提供している。法廷調査官は、漏洩から8ヶ月後でさえ、運営者であるSanteda International B.V.によって強制的なパスワードリセットのような意味のある措置が取られていなかったことを発見した。

"9ヶ月間、私はキュラソーのギャンブル当局がリアルタイムで活動するのを見ていました。職員は気づいていませんでした。誰が違法なオンラインカジノを所有し、誰がそれを資金提供し、当局がその運営について何を知っているかを見ることができました。今日…私は#casinosecrets を公開します。" - Lilith Wittmann、IT活動家兼ハッカー

CGAの広報担当者は、同組織が透明性へのコミットメントを維持しており、まもなく声明を発表するとメディアに語った。しかし、この管轄区域への信頼は過去最低水準にある。この侵害は、今年の初めにマルタ・ゲーミング・オーソリティ（MGA）で起きた同様の事件に続いており、弁護士事務所Bird & Bird LLPによるWittmannに対する1,300ページの暫定差止命令につながった。キュラソーの防御は、マルタのものよりもさらに簡単に回避できたようだ。

背景

キュラソーは長年、ヨーロッパ本土の厳格な基準を回避したい運営者にとって、好都合な拠点となってきた。同島のライセンスは安価であり、企業構造はしばしば真の所有者を不明瞭にしている。しかし、オランダ政府は改革への圧力をかけており、より厳しいライセンス条件を要求している。このハッキングは、イメージ刷新を図ろうとしているCGAにとって、極めて重要な時期に到来した。過去にElasticSearchサーバーが1億件のギャンブル取引を保護せずに放置した事例を彷彿とさせる機密データの暴露は、オフショア検索エンジンのセキュリティにおけるシステム的な失敗を浮き彫りにしている。

ドイツのプレイヤーにとってなぜ重要か

ドイツのプレイヤーにとって、このニュースはグレーマーケットの危険性についての厳しい警告となる。キュラソーライセンスのカジノで行われた入金は、明らかに不十分なITプロトコルを持つ事業体によって管理されている。2021年のドイツギャンブル州間条約（GlüStV 2021）は、まさにこのようなデータ漏洩を防ぐために制定された。Gemeinsame Glücksspielbehörde der Länder（GGL）のライセンスを受けたカジノは、厳格なサイバーセキュリティとデータ保護法を遵守しなければならない。

ドイツ居住者は、常に公式のGGLホワイトリストを確認すべきである。これらのプロバイダーのみが、LUGASを介した月額1,000ユーロの入金制限や、スロットの1スピンあたり1ユーロの制限などの、必須のプレイヤー保護を提供している。MyStakeの漏洩は、オフショア運営者がデータ侵害を数ヶ月間無視することが多く、プレイヤーを個人情報盗難やフィッシングの危険にさらしていることを示している。キュラソーのカジノが失敗した場合、ドイツ市民が個人情報を保護するための法的な救済策は事実上存在しない。

GGLライセンスのカジノにとっての意味

合法的なドイツの運営者は、このスキャンダルを規制の価値を証明する機会と見ることができる。CGAのようなオフショア規制当局が安全でないことが暴露される一方で、ドイツの規制枠組みは消費者データのための安全な避難所を提供している。現在キュラソーで剥奪されつつある匿名性は、GGLライセンス企業には存在しない。GGLライセンス企業では、ライセンスが付与される前に所有権が完全に透明でなければならない。この透明性が、オフショア事業体が急速に失っている信頼を築く。ドイツの運営者は、合法的に規制された市場にプレイヤーを引き戻すために、より優れたセキュリティ基準を強調すべきである。

その他の情報源：[curacaochronicle.com, partycasino.com]