Vi testede Curacaos nye licensportal: nu kan kun inviterede logge ind

Det så vi den 21. oktober

Vi åbnede portalens adresse, portal.cga.cw, den 21. oktober 2026 kl. 21.13. Den sendte os direkte videre til en login-side med overskriften "Sign in to the CGA Licensing Portal", rettet mod ansøgere og licenshavere hos Curacao Gaming Authority. ^[1]

Siden giver to muligheder for at logge ind:

• Sign in with Microsoft, med Microsoft-kontoen til den e-mailadresse, myndigheden har inviteret
• I have an invitation code, til dem, der har fået en invitationskode fra CGA

Der er ingen formular til at oprette en konto, ingen menu og ingen offentlig information på siden, kun de to login-muligheder, et kontaktlink og en privatlivspolitik. Vi forsøgte ikke at logge ind, for det kan kun ansøgere og licenshavere med en invitation.

Licenscertifikaterne virker stadig. Vi åbnede certifikatet for licens CGA/2025/2375/1259, og cert.cga.cw viste licenshaveren, de godkendte domæner og status "Active". ^[8]

Den gamle portal lod alle oprette en konto

Forskellen fra det gamle system er hele pointen. Den 13. september 2026, få dage før angrebet blev kendt, var portal.cga.cw en åben "License Management Portal" med en menu til publikationer, ofte stillede spørgsmål og licenser og to knapper: Login og Register. ^[7]

Det var den åbne oprettelse, der gjorde angrebet muligt. Ifølge CGA kom forskeren ind via portalens kundedel med en konto, der blev oprettet i december 2025 under falsk identitet, med en variant af en virkelig persons navn og et eksisterende selskab i Curacaos handelsregister. Adgangen varede fra december 2025 til september 2026. ^[6]

^[1][2][6][7]

Fra hackerangreb til ny portal på fem uger

• 17. september: CGA oplyser, at myndigheden har opdaget uautoriseret adgang til sin onlineportal, og at adgangen er stoppet. ^[5]
• 22. september: CGA bekræfter, at en tysk sikkerhedsforskers oplysninger passer med myndighedens egen undersøgelse. ^[6]
• 2. oktober: portalen er lukket. Operatører bedes om ikke at sende portaldokumenter via e-mail, og frister udskydes, til portalen er tilbage. ^[4]
• 7. oktober: CGA meddeler, at den nuværende onlineportal »ikke vil blive taget i brug igen«, og at aftalerne om tjenesterne bag den er ophørt. Myndigheden advarer også om, at det digitale licensmærke bliver påvirket. Eksisterende licenser gælder stadig. ^[3]
• 19. oktober: i en pressemeddelelse skriver CGA, at den midlertidige portal efter planen åbner samme dag. Licensregistret og systemet til det digitale licensmærke skal komme tilbage på samme tid. ^[2]

I pressemeddelelsen fra 19. oktober skriver CGA også, at angrebet er anmeldt til myndighederne på Curacao, i Tyskland og i Holland, at specialistfirmaer er hyret til at fjerne de lækkede oplysninger fra internettet, at en uafhængig teknisk undersøgelse er sat i gang, og at myndigheden overvejer et civilt søgsmål. ^[2]

Det er stadig uafklaret

Den midlertidige portal er en nødløsning. CGA siger, at myndigheden forbereder en ny portal, som den selv skal udvikle og drive, i stedet for at være afhængig af et eksternt firma som efter reformen i 2024. Hvornår den er klar, har CGA ikke oplyst. ^[2]

»Den midlertidige portal skal forberedes grundigt, før den kan tages i brug,« skrev CGA den 19. oktober. Myndigheden oplyste, at det interne system, det digitale licensmærke og licensregistret var klar til sikkerhedstjek hos uafhængige specialister, mens kundeportalen stadig blev tilpasset og først skulle sikkerhedstestes bagefter. ^[2] Den 21. oktober stod der stadig på CGA's forside, at portalen "åbner" den 19. oktober, og CGA havde ikke offentliggjort nogen bekræftelse på, at den var gået i drift. ^[1]

Hvor mange data der blev taget, er heller ikke afklaret. CGA skriver, at myndigheden »ikke gentager tal, den ikke kan bekræfte«, og at den vil oplyse, hvad der blev taget, når undersøgelsen kan underbygge det. ^[6] Selve dokumenterne blev offentliggjort af mediesamarbejdet bag CasinoSecrets, afdækningen af, hvem der ejer Curacaos onlinecasinoer.

Hvad det betyder for dig som spiller

For din konto på et casino med licens fra Curacao ændrer intet sig. »Lukningen af den tidligere portal gør ikke eksisterende licenser ugyldige,« skrev CGA den 19. oktober, og det samme har myndigheden sagt, siden portalen blev lukket. ^[2][3][4]

Det, der betyder noget for dig, er licenstjekket. Den 7. oktober advarede CGA om, at det digitale licensmærke ville blive påvirket, og lovede en anden måde, hvorpå operatører kan vise, at et domæne har licens. ^[3] Den 21. oktober kunne certifikaterne bag mærket åbnes som normalt. Klik på licensmærket nederst på casinoets side: det skal åbne et certifikat på cert.cga.cw, hvor præcis det domæne, du er på, står opført. I vores artikel om licensen til dbdbet.com og hi5win.com gennemgår vi tjekket trin for trin. Sammenligner du et casino uden ROFUS, så lav tjekket, før du indbetaler første gang. ^[8]