Curaçao-datalek: Hacker Lilith Wittmann dreigt met onthulling casino UBO's

De offshore gokwereld wordt opgeschrikt door een digitale aardbeving. Jarenlang diende het Caribische eiland Curaçao als een fort van anonimiteit voor wereldwijde gamingoperators, maar aan dat tijdperk komt mogelijk een einde. Lilith Wittmann, een Duitse IT-activist die bekend staat om het blootleggen van beveiligingslekken bij de overheid, heeft een succesvolle inbraak aangekondigd in de Curaçao Gaming Authority (CGA). Dit is geen kleine lek, maar een alomvattende blootlegging van de interne werking van het regelgevingssysteem, die dreigt het doek weg te trekken voor de multi-miljardenindustrie offshore.

Wittmann beweert dat ze in december 2025 toegang heeft verkregen tot de servers van de CGA en negen maanden lang de operaties van de toezichthouder in realtime heeft geobserveerd. Cruciaal is dat ze beweert nu informatie te bezitten over de Ultimate Beneficial Owners (UBO's) van gelicentieerde entiteiten. In een gecoördineerde publicatie via mediakanalen in vijf landen heeft ze al details benadrukt met betrekking tot grote operators zoals 1Xbet, Stake.com, SoftSwiss en Platinum Casino. De implicaties zijn ernstig voor individuen die lang hebben vertrouwd op het gebrek aan transparantie van Curaçao om hun identiteit te verbergen.

Cijfers en feiten

De omvang van de kwetsbaarheid is verbijsterend. Wittmann merkte op dat ze minder dan acht uur nodig had om een beveiligingslek te identificeren en te exploiteren om volledige administratieve toegang te krijgen. Hierdoor kon ze elke licentieaanvraag, financieel document en intern proces bekijken dat bij de autoriteit was ingediend. Extra context wordt geboden door andere recente mislukkingen in de regio, zoals de MyStake Casino-inbraak waarbij in mei 2025 een PDF met 540 gebruikersgegevens werd gelekt. Forensische onderzoekers ontdekten dat zelfs acht maanden na de lek geen enkele zinvolle actie – zoals gedwongen wachtwoordresets – was ondernomen door de operator, Santeda International B.V.

"Negen maanden lang heb ik de gokautoriteit van Curaçao in realtime aan het werk gezien – zonder dat het personeel het wist. Ik kon zien wie illegale online casino's bezat, wie ze financierde en wat de autoriteit wist van hun operaties. Vandaag... publiceer ik de #casinosecrets." - Lilith Wittmann, IT-activist en Hacker

Een woordvoerder van de CGA vertelde de media dat de organisatie zich blijft inzetten voor transparantie en binnenkort een verklaring zal afleggen. Het vertrouwen in de jurisdictie is echter gedaald tot een dieptepunt. Deze inbraak volgt op een soortgelijk incident bij de Malta Gaming Authority (MGA) eerder dit jaar, wat leidde tot een voorlopig bevel van 1.300 pagina's tegen Wittmann door het advocatenkantoor Bird & Bird LLP. Het lijkt erop dat de beveiliging op Curaçao nog gemakkelijker te omzeilen was dan die op Malta.

Achtergrond

Curaçao is al lange tijd een favoriete hub voor operators die de strenge normen van Europese vastelandsregelgeving willen vermijden. De licenties van het eiland zijn goedkoop en de bedrijfsstructuren verdoezelen vaak de ware eigenaren. De Nederlandse regering oefent echter druk uit voor hervormingen en eist strengere licentievoorwaarden. Deze hack komt op een cruciaal moment voor de CGA, die probeert haar imago te moderniseren. De blootlegging van gevoelige gegevens, die doet denken aan een vorig geval waarin een ElasticSearch-server 100 miljoen goktransacties onbeschermd liet, benadrukt de systeemfalen van beveiliging van zoekmachines offshore.

Waarom het ertoe doet voor Duitse spelers

Voor spelers in Duitsland dient dit nieuws als een duidelijke waarschuwing over de gevaren van de grijze markt. Stortingen bij casino's met een Curaçaose licentie worden beheerd door entiteiten met duidelijk onvoldoende IT-protocollen. Het Duitse Interstatelijke Verdrag inzake Gokken 2021 (GlüStV 2021) is opgesteld om precies dit soort gegevensblootstelling te voorkomen. Casino's met een licentie van de Gemeinsame Glücksspielbehörde der Länder (GGL) moeten zich houden aan strikte wetten inzake cybersecurity en gegevensbescherming.

Duitse inwoners moeten altijd de officiële GGL-whitelist controleren. Alleen deze providers bieden verplichte spelersbeschermingen, zoals de maandelijkse stortingslimiet van € 1.000 via LUGAS en de limiet van € 1 per spin op slots. De MyStake-lek toont aan dat offshore operators gegevenslekken vaak maandenlang negeren, waardoor spelers kwetsbaar zijn voor identiteitsdiefstal en phishing. Wanneer een Curaçaos casino faalt, is er vrijwel geen juridische verhaal voor een Duitse burger om hun persoonlijke informatie te beschermen.

Wat het betekent voor GGL-gelicentieerde casino's

Legale Duitse operators kunnen dit schandaal zien als een kans om de waarde van regulering aan te tonen. Terwijl offshore regelgevers zoals de CGA als onveilig worden ontmaskerd, biedt het Duitse regelgevende kader een veilige haven voor consumentengegevens. De anonimiteit die momenteel wordt gestript in Curaçao, bestaat niet voor GGL-gelicentieerde bedrijven, waar het eigendom volledig transparant moet zijn voordat een licentie wordt verleend. Deze transparantie bouwt het vertrouwen op dat offshore entiteiten snel verliezen. Duitse operators moeten hun superieure beveiligingsnormen benadrukken om spelers terug te trekken naar de legale, gereguleerde markt.

Verdere bronnen: [curacaochronicle.com, partycasino.com]