Leak-ul de la Curaçao Gaming Authority: panică în offshore, liniște în România. Noroc sau reguli?
Aproximativ 800 de proprietari. 646 de companii licențiate. Nouă luni în care cineva din afară a umblat prin portalul de licențiere al unui regulator fără să fie oprit.
Iar în România, niciuna dintre aceste companii nu avea dreptul să accepte măcar un singur jucător pe baza licenței de Curaçao.
În ultimele trei săptămâni am citit aproape tot ce s-a publicat despre „Casino Secrets”. Nu vreau să mai scriu încă o știre despre subiect, pentru că presa de investigație și-a făcut treaba foarte bine. Vreau să răspund la întrebarea pe care mi-au pus-o mai mulți colegi din industrie, pe rând, la telefon: „Pe noi ne afectează?”
Răspunsul scurt: mult mai puțin decât pe alții. Răspunsul lung e mai interesant, și nu e complet comod nici pentru noi.
Cum ajungi administrator la un regulator cu o adresă de Gmail
Pe scurt, lucrurile s-au întâmplat așa:
| Data | Ce s-a întâmplat |
|---|---|
| 3 decembrie 2025 | Lilith Wittmann, cercetătoare în securitate din Berlin, intră pentru prima dată în portalul de licențiere al CGA. Contul e creat pe numele unui manager de trust office cunoscut deja de autoritate, dar cu propria ei adresă de e-mail. |
| Dec. 2025 – sept. 2026 | Printr-o vulnerabilitate de control al accesului, obține și păstrează drepturi de administrator. |
| 17 martie 2026 | Malta Gaming Authority anunță o breșă într-unul dintre sistemele sale. Aceeași cercetătoare și-o asumă. |
| 17 septembrie 2026 | CGA anunță public accesul neautorizat. |
| 22 septembrie 2026 | Follow the Money publică investigația, împreună cu NRK, NDR, SVT și Jetzt. Wittmann își asumă public atacul. |
| 23 septembrie 2026 | Apare o arhivă publică cu peste 40.000 de documente. |
Despre motivele cercetătoarei se poate discuta. Ea susține că a acționat în interes public, ca să arate cine controlează de fapt companiile licențiate în Curaçao. CGA consideră incidentul o încălcare gravă a legii locale și a anunțat că îl raportează autorităților. Ambele afirmații pot fi adevărate în același timp, iar dezbaterea „interes public vs. acces ilegal” merită un articol separat. Aici mă interesează ce a ieșit la iveală.
Partea care m-a făcut să las cafeaua jos nu e tehnică. E faptul că intrarea s-a făcut cu o identitate „împrumutată” de la cineva pe care regulatorul îl cunoștea, iar nimeni nu a verificat că adresa de e-mail nu se potrivește. Este exact genul de verificare pe care un regulator le-o cere operatorilor la KYC (Know Your Customer, adică identificarea clientului), de mii de ori pe zi.
Ce au găsit, de fapt: regulatorul știa, și a semnat oricum
Că licențele de Curaçao erau „ușoare” nu e o noutate pentru nimeni din industrie. Toată lumea glumea pe seama lor de ani de zile. Noutatea e alta: acum avem documentele interne care arată că regulatorul își punea singur întrebările corecte, apoi acorda licența oricum.
Două exemple, ambele publicate de presa de investigație:
Stake. Potrivit documentelor, entitatea din spatele brandului a primit o licență condiționată pe 9 iunie 2025. În acel moment, propria evaluare a CGA nota că beneficiarul real era neclar. Funcționarii observaseră împrumuturi și plăți de zeci sau sute de milioane de dolari către firme legate de fondatorii brandului, care nu apăreau deloc în cererea de licență.
1xBet. Regulatorii suspectau că firma Caecus N.V. are mai mulți proprietari și au cerut detalii despre legăturile cu fondatorii ruși. Licența a fost acordată totuși, în 2024.
Concluzia Follow the Money este dură: regulatorul acorda licențe de rutină fără să stabilească dacă proprietarii declarați chiar conduc afacerea. Investigația a identificat 897 de înregistrări de UBO (ultimate beneficial owner, adică beneficiarul real, persoana care controlează efectiv compania), corespunzând unui număr de 767 de persoane, majoritatea europeni.
Poziția CGA trebuie redată corect, pentru că există. Autoritatea nu a contestat constatarea că a acordat licențe înainte de clarificarea acționariatului. A explicat că s-a decis, sub responsabilitatea ministrului de finanțe, ca cerințele să fie introduse gradual, nu toate odată. A mai precizat că a respins circa 28% dintre cereri din 2023 încoace și că 32 de licențe au fost revocate sau neprelungite.
Pe un punct, CGA a contraatacat. Presa a atribuit unei rețele legate de furnizorul Softswiss aproximativ 1.000 de domenii. Regulatorul a răspuns că nu operează o astfel de clasificare și că gruparea a fost „fabricată de dumneavoastră”, adică de jurnaliști. Argumentul lui: folosirea aceleiași platforme tehnice este ceva obișnuit în industrie și nu transformă companii licențiate separat într-o singură rețea. Pe acest punct, recunosc, CGA are parțial dreptate. Platformele white-label (soluții la cheie, pe care un operator își pune doar marca) sunt peste tot, inclusiv la operatori impecabili.
Opinia mea: nu „rețeaua” e problema centrală. Problema centrală e că o licență condiționată, acordată cu un semn de întrebare la rubrica „cine e proprietarul”, a fost folosită ani la rând ca pașaport de credibilitate în fața procesatorilor de plăți, a cluburilor sportive și a jucătorilor.
De ce noi privim de pe margine
Aici e partea care, sincer, mă face să privesc scandalul cu o oarecare liniște. Nu pentru că am fi mai deștepți, ci pentru că modelul românesc pornește de la o premisă complet diferită. Nu contează unde ești licențiat, contează unde se află jucătorul.
Conform OUG 77/2009, operatorul licențiat este persoana juridică ce a obținut licență de organizare și autorizație de exploatare de la Comitetul de Supraveghere al ONJN. O licență de Curaçao, Malta sau Isle of Man nu înlocuiește acest lucru. Prin urmare, pentru piața noastră nu există „operator offshore licențiat”. Există doar operator licențiat ONJN și operator ilegal.
| Criteriu | Curaçao (conform leak-ului) | România (ONJN) |
|---|---|---|
| Cine poate accepta jucători locali | Licența CGA era tratată ca „bilet” pentru piețe în care operatorul nu are drept să activeze | Doar titularul de licență ONJN clasa I, plus autorizație de exploatare |
| Verificarea proprietarilor reali | Licențe acordate cu UBO neclar, „gradual” | Dosar cu acționariat și beneficiari reali; operatorii sunt entități raportoare conform Legii 129/2019 (prevenirea spălării banilor) |
| Accesul regulatorului la date | Datele stăteau într-un portal vulnerabil | Definiția legală a echipamentului de joc la distanță include serverul în oglindă și serverul de siguranță (introduse prin OUG 92/2014) |
| Jucători autoexcluși | Fără mecanism comun pentru piețele-țintă | Registru național al persoanelor autoexcluse, administrat de ONJN din 2025 (Ordinul 79/2025) |
| Taxe pentru piața din care vin jucătorii | Practic zero | 27% din GGR pentru jocurile online din 1 august 2025, plus 2% reținut la depunere |
| Ce se întâmplă cu cine joacă fără licență locală | Este „licențiat acasă” | Listă neagră din 2015, blocare obligatorie la furnizorii de internet, faptă penală |
Rândul cu serverul de siguranță merită o explicație, pentru că e cel mai puțin înțeles în afara industriei. Un operator licențiat în România nu poate spune regulatorului „datele sunt la noi, aveți încredere”. Arhitectura cerută de lege presupune o copie a datelor de joc la care ONJN are acces tehnic. Ideea e simplă: regulatorul nu se bazează exclusiv pe ce îi declară operatorul.
Și ajungem la datele jucătorilor, care sunt adevărata miză pentru un român. Un jucător care joacă la un operator licențiat ONJN are datele la o companie care răspunde în fața ONJN, a ANAF și a ANSPDCP, sub GDPR, cu o adresă și cu oameni pe care îi poți chema în instanță. Același jucător care își trimite poza buletinului unui cazino online cu licență de Curaçao, găsit printr-un link de afiliere, se bazează pe un N.V. din Willemstad. Teoretic, GDPR se aplică și acolo, pentru că operatorul vizează rezidenți din UE. Practic, încercați să depuneți o plângere la ANSPDCP împotriva unei firme al cărei proprietar real nici regulatorul ei nu l-a putut stabili.
Leak-ul a expus în principal date despre proprietari și companii: pașapoarte, declarații fiscale, structuri. Dar dacă portalul regulatorului a fost atât de permeabil, nu-mi fac iluzii despre ce se întâmplă în back-office-urile unora dintre licențiații lui.
Lista neagră nu mai pare atât de exagerată
Țin minte bine anul 2015. Atunci au fost blocate, printre altele, bwin, bet365 și William Hill, iar industria a reacționat aproape în bloc: „România se izolează”, „protecționism”, „jucătorii vor merge oricum pe VPN”. Comitetul Helsinki vorbea despre cenzură pe internet. Am auzit în acea perioadă, la mai multe evenimente de industrie, că lista neagră e o măsură de țară mică.
Unsprezece ani mai târziu, lista este instrumentul care ne permite să privim scandalul de la Curaçao relativ calm.
Mecanismul e simplu și, important, are bază legală clară. Legea 124/2015 obligă furnizorii de rețele și servicii de comunicații electronice să respecte deciziile Comitetului de Supraveghere al ONJN privind blocarea site-urilor neautorizate. Practic, după fiecare decizie, lista e comunicată furnizorilor în 48 de ore, iar aceștia au 15 zile să redirecționeze traficul spre o adresă IP a ONJN.
Cifrele din ultimul an arată o schimbare de ritm:
- de la înființarea ONJN, în 2013, până în aprilie 2025: circa 1.500 de site-uri pe listă;
- în actualul mandat al conducerii: circa 1.180 de site-uri noi;
- dintre acestea, aproximativ 800 au intrat într-o singură ședință, pe 31 iulie 2026, cu ajutorul unui instrument nou de detectare a site-urilor-clonă.
Ultimul punct contează enorm în contextul leak-ului. Modelul de afaceri descris în „Casino Secrets” se bazează exact pe multiplicare: o licență, zeci sau sute de domenii. Blocarea domeniu cu domeniu era un joc pierdut. Detectarea „rădăcinii” comune a platformei e primul răspuns proporțional pe care l-am văzut din partea ONJN.
Am verificat și brandurile menționate de presa internațională în deciziile ONJN. Pe listă apar domenii-oglindă care poartă explicit marca unuia dintre ele, de tipul 1x-bet urmat de un șir de cifre. Și, independent de orice listă, juridic lucrurile sunt clare: un operator care are doar licență de Curaçao și acceptă jucători români încalcă legea română, indiferent dacă a ajuns sau nu pe lista neagră. Lista este instrumentul de aplicare, nu condiția ilegalității. Organizarea de jocuri de noroc fără licență este infracțiune conform OUG 77/2009, iar ONJN a reamintit public că și cei care furnizează plăți, promovare sau servicii IT unor astfel de operatori se pot expune răspunderii penale.
Concluzia mea personală, după 11 ani: regula pe care am criticat-o ca fiind prea rigidă s-a dovedit a fi o asigurare. Nu una perfectă, dar una pe care alte piețe și-ar dori acum să o fi cumpărat la timp.
Patru semnale de alarmă care nu țin de Curaçao
- Securitatea regulatorilor. Nouă luni de acces nedetectat, cu drepturi de administrator. Dacă asta se poate întâmpla la autoritatea care evaluează conformitatea altora, ar trebui să ne întrebăm cum arată auditul de securitate la propriii furnizori de platformă.
- Expunerea indirectă a partenerilor. Un dosar de licențiere nu conține doar proprietarul. Conține directori, furnizori tehnici, consultanți de compliance, structuri de plăți. Un furnizor B2B care lucrează și cu piața reglementată, și cu offshore-ul poate apărea în documente fără să fi făcut nimic ilegal. Arhiva publică precizează că includerea în ea nu implică o conduită ilegală. Acest lucru va conta însă prea puțin în departamentul de risc al unei bănci.
- Sfârșitul anonimatului ca model de afaceri. Când beneficiarii reali devin vizibili, se schimbă calculul pentru procesatori de plăți, bănci și cluburi sportive. Sponsorizarea „brandului X, licențiat în Curaçao” nu mai e un risc abstract. Are acum nume și documente atașate.
- Licența de complezență a devenit risc reputațional. Până acum, o licență ușoară era o problemă juridică, gestionabilă prin avocați. De acum devine o problemă de imagine, iar aceasta se gestionează mult mai greu. Pentru afiliații care promovează astfel de branduri spre piețe reglementate, aș zice că perioada de grație s-a terminat.
Și totuși… protejați nu înseamnă invulnerabili
Ar fi ușor să închei aici, cu un aer de superioritate. Ar fi și necinstit.
Raportul Curții de Conturi, făcut public în februarie 2025, spune un lucru pe care nimeni din industria noastră nu îl poate ignora: de la înființare, ONJN nu a monitorizat și nu a controlat niciodată activitatea operatorilor online. Datele stocate de operatori, inclusiv în terminalele care ar fi trebuit puse la dispoziția regulatorului, nu au fost analizate comparativ cu declarațiile lunare. Curtea a estimat că taxe de licență și autorizare de până la 3,6 miliarde de lei ar fi putut rămâne nedeclarate în perioada 2019–2023.
La autoexcludere, tabloul arată similar. La preluarea mandatului actual existau aproximativ 30.000 de cereri neprocesate, iar mecanismul exista, cum a recunoscut chiar ONJN, „doar în teorie”.
Deci regulile noastre sunt bune. Aplicarea lor a șchiopătat ani la rând și abia acum se reface. Diferența față de Curaçao e că la noi problema a fost „nu ne-am uitat la date”, nu „nu am avut dreptul să cerem date”. Diferența e reală, dar nu ne dă dreptul să ne culcăm pe ea.
Rămân trei întrebări pe care nu le pot închide:
- Registrul național de autoexcludere conține date despre unele dintre cele mai vulnerabile persoane din țară. Dacă un regulator din Caraibe a fost păcălit cu o identitate falsă de trust office, cât de bine sunt protejate portalurile prin care operatorii români interoghează acest registru?
- Ce garanții tehnice avem că accesul ONJN la serverele de siguranță e la fel de bine păzit pe cât e de necesar?
- Și ce facem cu jucătorul român care ajunge pe un site din leak prin VPN sau printr-un link de afiliere găzduit în afara țării? Lista neagră nu îl vede. Registrul de autoexcludere nu îl acoperă, fiindcă se aplică doar operatorilor licențiați ONJN. Pentru el, toată arhitectura descrisă mai sus pur și simplu nu există.
Întrebarea pentru voi
Am susținut ani de zile că licența locală e o povară birocratică necesară. După „Casino Secrets”, încep să o văd mai degrabă ca pe cea mai ieftină poliță de asigurare pe care o poate avea un operator serios.
Voi ce spuneți acum: licența locală e o povară sau o asigurare? Și credeți că un leak similar la un regulator din UE ar schimba ceva pentru piața românească?
Aștept argumentele în comentarii, mai ales pe cele care mă contrazic.
Jocurile de noroc sunt destinate exclusiv persoanelor de peste 18 ani. Jucați responsabil și doar la operatori licențiați ONJN.
Cazino - Alte articole de știri.
Casino
Casino
