Curaçao Gambling Hack démasque quelque 800 propriétaires de casinos cachés, pour la plupart européens

Ce que le hack du jeu de Curaçao a révélé

Une intrusion de neuf mois dans la Curaçao Gaming Authority (CGA) a révélé qui possède réellement des centaines de casinos en ligne offshore. Il s’avère que la plupart de ces propriétaires sont européens.

Les fichiers divulgués relient environ 800 bénéficiaires effectifs aux 646 sociétés qui détenaient une licence de jeu à Curaçao en décembre 2025. Ensemble, ces sociétés gèrent des milliers de sites Web, y compris des marques que les régulateurs de toute l'Europe ont sanctionnées ou mises sur liste noire.

Les documents suggèrent également que le régulateur approuvait régulièrement les licences alors que les questions fondamentales sur la propriété restaient sans réponse. La CGA n’a pas contesté ce point. Plusieurs des casinos cryptographiques et des paris sportifs les plus connus du secteur font partie des marques dont les propriétaires officiels apparaissent désormais dans le cache.

Pour les autorités européennes, la fuite apporte quelque chose qui leur manquait depuis des décennies : des noms. Jusqu’à présent, un mur de sociétés boîtes aux lettres anonymes cachait les responsables aux régulateurs comme aux collecteurs d’impôts.

Comment un faux demandeur de licence est entré dans le régulateur

La brèche a commencé par une simple tromperie. En décembre 2025, la hackeuse berlinoise Lilith Wittmann s'est inscrite sur le portail de licences du CGA. Elle s'est fait passer pour une responsable d'un bureau de fiducie néerlandais que le régulateur connaissait déjà, mais a entré son adresse e-mail personnelle.

Elle prétendait représenter une fondation qu’elle avait inventée et l’accès lui fut accordé en quelques jours. Selon son propre compte, elle a découvert une faille de sécurité exploitable quelques heures après s'être connectée.

Cette faille a ouvert tout le système de gestion des licences, où chaque demande et pièce justificative était stockée. Wittmann dit qu'elle a ensuite observé le régulateur « au travail en temps réel » pendant environ neuf mois, sans que le personnel ne le remarque.

La CGA a confirmé qu'un compte créé sous une fausse identité a utilisé son portail de décembre 2025 à septembre 2026. Elle affirme que l'intrusion a été contenue, la qualifie de manquement grave à la loi de Curaçao et la signalera aux autorités.

Le butin est vaste. Il comprend les déclarations de propriété, les demandes de licence, les évaluations internes du régulateur, les passeports, les déclarations de revenus et les dossiers financiers.

Le 23 septembre, une archive publique consultable de plus de 40 000 documents a été mise en ligne sous le nom de Casino Secrets. N'importe qui peut rechercher des entreprises et des domaines, même si le site souligne que l'apparition dans les fichiers n'implique pas une conduite illégale.

Wittmann n'est pas étranger aux serveurs des régulateurs des jeux de hasard. Plus tôt en 2026, elle a violé un système appartenant à la Malta Gaming Authority.

Un réseau de propriété européen derrière les boîtes aux lettres des Caraïbes

Les ressortissants d'Ukraine, du Royaume-Uni et de Chypre sont en tête de la liste des propriétaires identifiés dans les dossiers, tandis que 13 sont néerlandais. Sur le papier, leurs entreprises sont des sociétés boîtes aux lettres de Curaçao administrées par des bureaux de fiducie locaux.

Cette couche de contrôle est remarquablement petite. Seuls 40 représentants de 30 bureaux de fiducie ont traité avec le régulateur au nom des entreprises agréées, et 31 d'entre eux détiennent un passeport néerlandais.

Les fichiers atteignent également le sommet du marché. Quatre cas se démarquent :

Lorsqu'ils ont été approchés, les représentants du bookmaker ont déclaré qu'ils ne pouvaient pas répondre aux hypothèses tirées de documents qu'ils n'avaient pas vus. Les propriétaires du casino brésilien et l'exploitant condamné aux Pays-Bas n'ont pas répondu. Apparaître dans les dossiers ne signifie pas que quiconque a enfreint la loi.

En Allemagne, les journalistes travaillant sur les fichiers ont lié environ 1 000 domaines de casino à des opérateurs liés à un seul fournisseur de logiciels de casino. Le fournisseur affirme ne pas exploiter de casino et compare son rôle à celui d'un éditeur de logiciels de bureautique. Le CGA a rejeté le regroupement en le qualifiant d'invention des journalistes.

La même série de révélations concerne la plus grande affaire de casino illégal d'Allemagne. Le 8 septembre, plus de 100 agents ont fouillé 11 propriétés, principalement autour de Francfort, et arrêté un suspect principal. Les procureurs affirment que le casino sans licence a pris environ 5,86 milliards d’euros de mises entre juillet 2021 et fin 2023.

Le régulateur commun allemand des jeux de hasard, le GGL, a depuis identifié le casino en ligne orienté vers l'Allemagne au centre de l'affaire. Wittmann, qui lie le casino à Curaçao, estime le déficit fiscal allemand sur les jeux de hasard à environ 250 millions d'euros, un chiffre non officiellement confirmé. Le fournisseur de logiciels affirme qu'il a peut-être fourni des composants individuels à ce casino, mais qu'il n'a joué aucun rôle dans son fonctionnement.

L’histoire atteint également les pays nordiques. Les radiodiffuseurs publics norvégiens et suédois ont examiné les dossiers aux côtés des rédactions néerlandaises, allemandes et autrichiennes, et les reportages norvégiens ont trouvé des Norvégiens parmi les candidats à la licence.

La refonte des licences de Curaçao critiquée

La fuite survient au moment où Curaçao tente de se débarrasser de sa réputation de longue date de laxisme en matière de surveillance. Pendant près de 30 ans, quelques titulaires privés de licences principales ont vendu des sous-licences à des opérateurs du monde entier, l’État étant à peine impliqué.

Cette licence n'a jamais permis aux opérateurs de prendre des paris dans d'autres pays. Son attrait était l'accès : aux bureaux de fiducie locaux, aux sociétés de paiement et aux fournisseurs de logiciels de casino, ainsi qu'un cachet qui donnait aux opérateurs une apparence légitime.

Sous la pression des Pays-Bas, Curaçao a adopté en 2024 l'Ordonnance nationale sur les jeux de hasard (LOK), plaçant les opérateurs sous la supervision directe de la CGA. Une licence coûte désormais environ 47 450 € par an, et le régulateur a renforcé ses règles pour les opérateurs de cryptographie en juin.

La CGA affirme que le secteur est toujours en transition. De nouvelles exigences sont mises en place progressivement, un choix fait sous la responsabilité du ministre des Finances. Le régulateur ajoute qu'il ne refuse pas les licences au premier signe de doute.

Elle affirme également avoir rejeté environ 28 % des demandes depuis 2023 et que ses licences ne couvrent pas des marchés comme l’Allemagne. Il met en garde contre le fait de juger les candidatures à partir de documents uniques sans le dossier complet.

Les critiques ne sont pas convaincues. Marcel Pheijffer, professeur de juricomptabilité à la Nyenrode Business University, a déclaré qu'une telle approche serait impossible aux Pays-Bas. Selon lui, un régulateur devrait réfléchir avant d’agir.

Björn Fuchs, président de l'association néerlandaise de jeux en ligne VNLOK, est allé plus loin. Il a déclaré que la nouvelle loi semble « échouer lamentablement » et a exhorté le régulateur à refuser les licences lorsque des signaux d'alarme subsistent.

Que se passe-t-il ensuite

Les conséquences ne font que commencer. L'enquête médico-légale du CGA est toujours en cours et Wittmann a annoncé son intention de publier la liste complète des bénéficiaires effectifs.

À Curaçao, le contrôle se déplace désormais vers le ministère des Finances. Le régulateur affirme que la lente mise en œuvre des nouvelles règles a été décidée sous la responsabilité du ministre, et les médias locaux demandent déjà quelles instructions le CGA a reçues.

Les entreprises qui s’appuient sur les données de propriété déclarées doivent faire face à leurs propres comptes. Les banques, les prestataires de paiement et les sociétés de cryptographie qui travaillent avec des opérateurs agréés à Curaçao devront peut-être revoir leurs dossiers de diligence raisonnable.

La lutte juridique autour des méthodes de Wittmann est loin d'être réglée. Selon Wittmann, l'Autorité maltaise des jeux de hasard a récemment perdu un procès provisoire contre elle à Berlin, afin qu'elle puisse continuer à utiliser ses documents.

Pour les joueurs, la conclusion est simple : une licence de Curaçao révèle peu de choses sur qui dirige un casino. Cela ne rend pas non plus un opérateur légal dans des pays comme l'Allemagne ou les Pays-Bas, qui exigent une licence nationale.

FAQ

Que s'est-il passé lors du piratage du jeu à Curaçao ?

Une pirate informatique s'est inscrite sur le portail de licences de la Curaçao Gaming Authority sous une fausse identité en décembre 2025. Elle a ensuite eu accès au système de gestion des licences du régulateur pendant environ neuf mois, jusqu'à ce que la faille soit détectée en septembre 2026.

Qui se cache derrière le piratage de la Curaçao Gaming Authority ?

Lilith Wittmann, hacker et chercheuse en sécurité basée à Berlin, a revendiqué la responsabilité. Plus tôt en 2026, elle a également violé un système de la Malta Gaming Authority.

Combien de propriétaires de casino ont été exposés ?

Les fichiers relient environ 800 bénéficiaires effectifs à 646 sociétés agréées à Curaçao en décembre 2025. La plupart des propriétaires sont européens, avec en tête des ressortissants d'Ukraine, du Royaume-Uni et de Chypre.

Les grandes marques de casino sont-elles concernées par la fuite ?

Oui. Plusieurs des casinos cryptographiques et des paris sportifs les plus connus agréés à Curaçao apparaissent dans les documents, aux côtés de centaines d'opérateurs moins connus. Être nommé dans les dossiers n’indique pas en soi un acte répréhensible.

Un casino agréé par Curaçao peut-il légalement opérer en Europe ?

Pas uniquement sur la base de cette licence. Une licence de Curaçao n'autorise pas les jeux de hasard dans des pays comme l'Allemagne ou les Pays-Bas, qui exigent leurs propres licences nationales.

Comment l’Autorité des jeux de Curaçao a-t-elle réagi ?

Le CGA a confirmé l'accès non autorisé, affirme qu'il a été contenu et le qualifie de violation grave de la loi de Curaçao. Il affirme que l'industrie se trouve dans une période de transition et met en garde contre le fait de tirer des conclusions à partir de documents individuels.