Vi testet Curacaos nye lisensportal: nå kan bare inviterte logge inn

Dette så vi 21. oktober

Vi åpnet portaladressen, portal.cga.cw, 21. oktober 2026 klokken 21.13. Den sendte oss rett videre til en innloggingsside med overskriften «Sign in to the CGA Licensing Portal», rettet mot søkere og lisensinnehavere hos Curacao Gaming Authority. ^[1]

Siden har to måter å logge inn på:

• Sign in with Microsoft, med Microsoft-kontoen til e-postadressen myndigheten har invitert
• I have an invitation code, for dem som har fått en invitasjonskode fra CGA

Det finnes ikke noe skjema for å registrere seg, ingen meny og ingen offentlig informasjon på siden, bare de to innloggingsvalgene, en kontaktlenke og en personvernerklæring. Vi prøvde ikke å logge inn, siden bare søkere og lisensinnehavere med invitasjon kan gjøre det.

Lisenssertifikatene virker fortsatt. Vi åpnet sertifikatet for lisens CGA/2025/2375/1259, og cert.cga.cw viste lisensinnehaveren, de godkjente domenene og statusen «Active». ^[8]

Den gamle portalen lot hvem som helst registrere seg

Forskjellen fra det gamle systemet er selve poenget. 13. september 2026, noen dager før innbruddet ble kjent, var portal.cga.cw en åpen «License Management Portal» med en meny for publikasjoner, vanlige spørsmål og lisenser, og to knapper: Login og Register. ^[7]

Det var den åpne registreringen som gjorde innbruddet mulig. Ifølge CGA kom forskeren inn via kundedelen av portalen med en konto som ble registrert i desember 2025 under falsk identitet, med en variant av navnet til en virkelig person og et eksisterende selskap i Curacaos handelsregister. Tilgangen varte fra desember 2025 til september 2026. ^[6]

^[1][2][6][7]

Fra datainnbrudd til ny portal på fem uker

• 17. september: CGA melder at myndigheten har oppdaget uautorisert tilgang til nettportalen, og at tilgangen er stanset. ^[5]
• 22. september: CGA bekrefter at en tysk sikkerhetsforskers opplysninger stemmer med myndighetens egen undersøkelse. ^[6]
• 2. oktober: portalen er stengt. Operatørene blir bedt om ikke å sende portaldokumenter på e-post, og frister utsettes til portalen er tilbake. ^[4]
• 7. oktober: CGA kunngjør at den nåværende nettportalen «ikke vil bli tatt i bruk igjen», og at avtalene om tjenestene bak den er avsluttet. Myndigheten varsler også at det digitale lisensmerket blir berørt. Eksisterende lisenser gjelder fortsatt. ^[3]
• 19. oktober: i en pressemelding skriver CGA at den midlertidige portalen etter planen åpner samme dag. Lisensregisteret og systemet for det digitale lisensmerket skal komme tilbake samtidig. ^[2]

I pressemeldingen 19. oktober skriver CGA også at innbruddet er anmeldt til myndighetene på Curacao, i Tyskland og i Nederland, at spesialistselskaper er hyret inn for å fjerne de lekkede opplysningene fra internett, at en uavhengig teknisk gransking er satt i gang, og at myndigheten vurderer et sivilt søksmål. ^[2]

Dette er fortsatt uavklart

Den midlertidige portalen er en nødløsning. CGA sier at myndigheten forbereder en ny portal som den skal utvikle og drifte selv, i stedet for å være avhengig av et eksternt selskap slik den var etter reformen i 2024. Når den blir klar, har CGA ikke sagt. ^[2]

«Den midlertidige portalen må forberedes grundig før den kan tas i bruk», skrev CGA 19. oktober. Myndigheten opplyste at internsystemet, det digitale lisensmerket og lisensregisteret var klare for sikkerhetstester hos uavhengige spesialister, mens kundeportalen fortsatt ble justert og skulle sikkerhetstestes etterpå. ^[2] Per 21. oktober sto det fortsatt på CGAs forside at portalen «åpner» 19. oktober, og CGA hadde ikke publisert noen bekreftelse på at den var satt i drift. ^[1]

Hvor mye data som ble tatt, er heller ikke avklart. CGA skriver at myndigheten «ikke gjentar tall den ikke kan bekrefte», og at den vil opplyse hva som ble tatt når granskingen gir grunnlag for det. ^[6] Selve dokumentene ble publisert av mediesamarbeidet bak CasinoSecrets, granskingen av hvem som eier Curacaos nettcasinoer.

Hva det betyr for deg som spiller

For kontoen din på et casino med lisens fra Curacao endrer ingenting seg. «At den tidligere portalen stenges, gjør ikke eksisterende lisenser ugyldige», skrev CGA 19. oktober, og det samme har myndigheten sagt siden portalen ble stengt. ^[2][3][4]

Det som betyr noe for deg, er lisenssjekken. 7. oktober varslet CGA at det digitale lisensmerket ville bli berørt, og lovet en annen måte for operatører å vise at et domene har lisens. ^[3] 21. oktober kunne sertifikatene bak merket åpnes som normalt. Klikk på lisensmerket nederst på casinoets side: det skal åpne et sertifikat på cert.cga.cw der akkurat det domenet du er på, står oppført. I artikkelen vår om lisensen til dbdbet.com og hi5win.com går vi gjennom sjekken trinn for trinn. Sammenligner du sider for crypto casino Norge, bør du gjøre sjekken før første innskudd. ^[8]