Lilith Wittmann on kyberturvallisuustutkija ja hakkeri.
CURAÇAON rahapeliviranomaisen Curaçao Gaming Authorityn (CGA) viime viikolla paljastunut tietoturvatapaus on saanut uuden käänteen.
Hollantilaisen tutkivan journalismin julkaisun Follow the Moneyn tietojen perusteella saksalainen kyberturvallisuustutkija ja hakkeri Lilith Wittmann pääsi CGA:n lisenssijärjestelmään jo joulukuussa 2025 ja sai haltuunsa kymmeniä tuhansia luottamuksellisia asiakirjoja.
CGA ei ole vahvistanut, liittyykö tämä aiemmin tapahtunut luvaton pääsy sen 17. syyskuuta ilmoittamaan tietoturvatapaukseen.
Wittmannin saama aineisto sisälsi muun muassa rahapeliyhtiöiden omistajatietoja, lisenssihakemuksia, passeja, veroilmoituksia ja taloudellisia tietoja.
CGA kertoi 17. syyskuuta havainneensa luvattoman tunkeutumisen verkkopelien hallintaportaaliinsa. Viranomaisen mukaan pääsy saatiin myöhemmin hallintaan ja sen lähde tunnistettiin.
Lue myös: Hakkeri väittää ladanneensa 1,3 miljoonaa yritysdokumenttia Maltalta
TUTKINTA on edelleen kesken. Viranomainen selvittää parhaillaan, mitä tietoja järjestelmästä mahdollisesti päästiin käsittelemään ja mitä seurauksia tapahtumalla voi olla.
CGA ei siis ole vahvistanut, liittyvätkö nämä kaksi tapausta toisiinsa.
Nyt julkaistu tutkinta antaa tapahtumasta huomattavasti tarkemman kuvan.
Follow the Moneyn, NDR:n, NRK:n ja SVT:n yhteistyössä tekemän tutkinnan mukaan Wittmann rekisteröityi CGA:n verkkosivujen kautta käyttämällä Curaçaolla toimivan trustiyhtiön johtajan nimeä.
Sähköpostiosoitteena hän käytti omaa Gmail-osoitettaan ja ilmoitti edustavansa DreamCatcher Private Foundation -nimistä yritystä, jota ei todellisuudessa ollut olemassa.
Hänen tekemänsä lisenssihakemus hyväksyttiin muutamassa päivässä.
Tämän jälkeen Wittmann latasi järjestelmään ohjelmiston, jonka avulla hän pystyi käyttämään järjestelmää tavalla, joka mahdollisti laajan pääsyn sen sisältämiin tietoihin.
Pääsy jatkui yhdeksän kuukauden ajan ilman, että viranomainen havaitsi tutkijan toiminnan.
MEDIALÄHTEET sanovat, että saadun aineiston avulla on voitu selvittää aiemmin julkisuudelta piilossa olleita tietoja siitä, ketkä omistavat Curaçaon lisensoituja rahapeliyhtiöitä. Follow the Money kertoo aineiston koskevan satoja Curaçaolla rekisteröityjä rahapeliyhtiöitä.
CGA:n tietosuojaselosteen mukaan lisenssihakemuksiin liittyvistä henkilöistä voidaan käyttää esimerkiksi nimeä, syntymäaikaa, osoitetta, ansioluetteloa, työhistoriaa, koulutusta, henkilöllisyystodistuksen kopiota, puhelinnumeroa ja sähköpostiosoitetta.
Lisäksi käsiteltäviin tietoihin voivat kuulua rikos- ja hallinnollisia seuraamuksia koskevat tiedot sekä taloudelliset tiedot.
Näin ollen järjestelmän mahdollinen tietovuoto ei koske vain tavallisia yritysten yhteystietoja, vaan portaalissa on lähtökohtaisesti huomattavan arkaluonteista henkilötietoa.
Lue myös: Curaçaon rahapeliviranomaisen järjestelmä hakkeroitu
NYT julkisuuteen kerrotun tapauksen osalta CGA ei ole vielä vahvistanut, mitä tietoja ulkopuolinen taho on päässyt käsittelemään tai kopioiko se niitä.
Tutkinta selvittää edelleen tapauksen kokonaislaajuutta. CGA ei ole vielä kertonut, milloin luvaton pääsy varsinaisesti on tapahtunut.
Follow the Moneyn julkaisemien tietojen perusteella luvaton pääsy olisi kuitenkin mahdollisesti alkanut jo viime vuoden joulukuussa, eli kuukausia ennen kuin CGA kertoi tapauksesta julkisesti.
Toistaiseksi CGA:n virallinen kanta ei ole muuttunut.
LUVATTOMAN pääsyn lähde on tunnistettu, pääsy on saatu hallintaan ja tutkinta jatkuu. CGA on ilmoittanut, ettei sen ydintekniseen infrastruktuuriin ole toistaiseksi havaittu kohdistuneen murtautumista.
Follow the Moneyn ja sen kansainvälisten yhteistyökumppaneiden julkaisema aineisto tuo silti esiin uuden ja huomattavasti vakavamman mahdollisuuden.
Lue myös: Kyberhyökkäys antoi venäjänkielisille pelaajille extravoittoja
Lähteet
European Gaming – “Curaçao Gaming Authority investigates unauthorised access to its gaming portal” – Alex Carter – 22.9.2026
Curaçao Chronicle – “Hacker Entered Curaçao Gaming Authority Portal Using Fictitious Gambling Company, Investigation Says” – 22.9.2026
Casino Nieuws – “Hack bij Curaçao Gaming Authority onthult eigenaren achter honderden gokbedrijven” – Frank Op de Woerd – 22.9.2026
