Curacaon peliviranomainen hakkeroitu

Curaçaon peliviranomainen myönsi viime viikolla, että sen järjestelmiin oli murtauduttu. Tiistaina 22. syyskuuta selvisi, kuka sen teki ja kuinka kauan. Berliiniläinen tietoturvatutkija Lilith Wittmann kertoi seuranneensa viranomaisen työtä sen omista järjestelmistä noin yhdeksän kuukauden ajan. Joulukuusta 2025 lähtien. Kenenkään huomaamatta.

Vuodosta on nyt julkaistu ensimmäiset löydökset. Ja ne vastaavat kysymykseen, jota pelaajat esittävät harvoin, mutta jota pitäisi: kuka oikeasti omistaa kasinon, jolle talletat rahasi?

Lyhyt versio: Curaçao myönsi lisenssejä, vaikka sen omat virkamiehet epäilivät, ettei paperilla ilmoitettu omistaja ole oikea omistaja. Ja ovi viranomaisen järjestelmiin aukesi Gmail-osoitteella.

Miten murto tapahtui

Tapa on melkein nolompi kuin itse vuoto. Hollantilaisen tutkivan median Follow the Moneyn (FTM) mukaan Wittmann rekisteröityi Curaçao Gaming Authorityn (CGA) lisenssiportaaliin käyttäen viranomaiselle ennestään tutun trustitoimiston johtajan nimeä. Sähköpostiksi hän laittoi oman Gmail-osoitteensa. Hakijaksi hän ilmoitti ”DreamCatcher Private Foundation” -nimisen säätiön, jota ei ole olemassa.

Muutamassa päivässä hänellä oli pääsy portaaliin. Sen jälkeen hän asensi ohjelmiston, jolla hän otti lisenssijärjestelmän haltuunsa.

Mieti hetki, mitä tuo tarkoittaa. Viranomainen, jonka tehtävä on selvittää, kuka lisenssinhakijan takana oikeasti on, ei tarkistanut, kuka sen omaan järjestelmään kirjautuu.

Järjestelmästä löytyi kymmeniä tuhansia asiakirjoja: lisenssihakemuksia, viranomaisen arvioita, passeja, veroilmoituksia ja taloustietoja. FTM kävi aineiston läpi Casino Secrets -hankkeessa yhdessä muun muassa ruotsalaisen SVT:n, norjalaisen NRK:n ja saksalaisen NDR:n kanssa. Tulos: noin 800 omistajaa, lähes 650 lisensoitua peliyhtiötä ja tuhansia pelisivustoja.

Huomaa listasta yksi asia. Ruotsi ja Norja ovat mukana. Suomalaista mediaa listalla ei ole.

Kaksi tapausta, sama kaava

Ensimmäiset julkaistut löydökset koskevat kahta alan tunnetuinta offshore-nimeä: Stakea ja 1xBetiä.

Stake tunnetaan perustajistaan Ed Cravenista ja Bijan Tehranista. Kryptokasinoiden maailmassa he ovat julkkiksia. Paperilla Staken curaçaolaisen yhtiön Medium Rare NV:n omistaa kuitenkin serbialainen Mladen Vuckovic, joka tunnetaan yhtiön toimitusjohtajana. Vuonna 2024 hän ilmoitti viranomaiselle omaisuutensa arvoksi yli miljardi dollaria.

CGA:n virkamiehet eivät itsekään olleet vakuuttuneita. FTM:n mukaan he kyseenalaistivat, onko Vuckovic todella ainoa omistaja. Medium Rarelta oli nimittäin kulkenut kymmenien, jopa satojen miljoonien dollarien lainoja ja maksuja Craveniin ja Tehraniin kytkeytyville yhtiöille ja henkilöille. Kumpaakaan heistä ei mainittu lisenssihakemuksessa.

1xBetin kohdalla kuvio toistuu. Julkisuudessa yhtiö on yhdistetty venäläisiin perustajiin. Curaçaon yhtiön Caecus NV:n omistajaksi ja toimitusjohtajaksi on kuitenkin merkitty ukrainalainen Ihor Hniedash. CGA:n arvioijat epäilivät, että omistajia on useampi, ja pyysivät selvitystä Hniedashin suhteesta venäläisiin. Lisenssi myönnettiin vuonna 2024. Vastauksia ei saatu.

Painotan yhtä asiaa. Kyse on FTM:n tiedoista ja viranomaisen omista epäilyistä. Kukaan ei ole todennut, että kummankaan yhtiön omistusrakenteessa olisi jotain laitonta. Ongelma on toisaalla.

Ongelma ei ole Stake. Ongelma on leima.

Lisenssi on pelaajalle lupaus. Kun kasinon alalaidassa on lisenssinumero, oletamme, että joku on käynyt yhtiön läpi. Että joku tietää, kuka rahat viime kädessä saa.

Vuoto kertoo, ettei tämä oletus Curaçaossa aina pidä. Viranomainen tunnisti punaiset liput omissa muistioissaan ja antoi silti leiman.

Pysähdy tähän hetkeksi. Viranomainen ei jättänyt kysymyksiä kysymättä. Se kysyi ne, ei saanut vastauksia ja myönsi lisenssin silti.

CGA:n selitys on siirtymävaihe. Curaçao uudisti järjestelmänsä vuonna 2024 Alankomaiden painostuksesta. Vanha malli, jossa muutama yksityinen master-lisenssin haltija jakoi alilisenssejä satoihin suuntiin, lakkautettiin. Viranomaisen mukaan yhtiöille annettiin aikaa täyttää uuden lain vaatimukset vähitellen, eikä hakemuksia hylätty heti, kun kysymyksiä ilmeni.

Annetaan sille se, mikä sille kuuluu. Siirtymä vanhasta mallista on iso urakka, eikä kaikkea korjata yhdessä yössä. Mutta kyse on lopulta valinnasta. Viranomainen päätti, että toiminta saa jatkua ennen kuin tiedetään, kuka toimintaa johtaa. Ei toisin päin.

Entä hakkerin rooli?

Tästä ei pääse yli olankohautuksella. Wittmann murtautui viranomaisen järjestelmään luvatta, ja aineistossa on satojen ihmisten passeja ja veroilmoituksia. Myös sellaisten, joilla ei ole mitään salattavaa. Tietoturvatutkijan titteli ei muuta sitä.

Wittmann perustelee toimintaansa yleisellä edulla: yleisöllä on oikeus tietää, kuka Curaçaon peliyhtiöitä hallitsee. Hänellä on myös historiaa. Aiemmin tänä vuonna hän murtautui Maltan peliviranomaisen MGA:n järjestelmään. MGA sai hänestä Saksassa väliaikaisen kieltomääräyksen, ja osapuolet kiistelevät myös Wittmannin väitteistä, joiden mukaan viranomaisella olisi kytköksiä järjestäytyneeseen rikollisuuteen. MGA pitää väitteitä perättöminä.

Voi olla yhtä aikaa sitä mieltä, että keino oli väärä ja että löydös on tärkeä. Minä olen.

Pahin voi olla vasta tulossa

Wittmann vihjaa lisäpaljastuksista, ja ne ovat suomalaisen pelaajan kannalta kiinnostavampia kuin Stake.

Ensimmäinen koskee Platin Casinoa ja väitettyä 250 miljoonan euron verokikkaa Saksassa. Toinen koskee SoftSwissiä. Wittmannin mukaan vuotaneet asiakirjat osoittavat, että ohjelmistotoimittaja on tiiviisti kytköksissä yhtiöihin, jotka pyörittävät satoja laittomia kasinoita. Lisäksi hän on ilmoittanut julkaisevansa koko omistajalistan.

SoftSwiss on nimi, joka kannattaa pitää mielessä. Sen kasinoalusta on yksi alan yleisimmistä, ja sen päällä pyörii valtava määrä kasinoita, myös suomenkielisiä. Samoja kasinopelejä tarjoava sivusto voi näyttää päältä täysin erilaiselta kuin naapurinsa, vaikka moottori ja joskus omistajakin ovat samat.

Nämä ovat toistaiseksi väitteitä. Palaan asiaan, kun aineisto julkaistaan.

Miksi tämä koskee Suomea juuri nyt

Suomen rahapelimarkkina avautuu 1.7.2027. Lisenssiä on jo hakenut joukko kansainvälisiä toimijoita, ja tulevan valvojan pitää selvittää jokaisen hakijan todelliset omistajat.

Curaçao tarjoaa tähän kalliin oppitunnin ilmaiseksi. Hakemuslomake, jossa kysytään omistajaa, ei ole omistajaselvitys. Jos virkamies huomaa, että rahat virtaavat henkilöille, joita hakemuksessa ei mainita, se ei saa jäädä muistiinpanoksi. Sen pitää olla este.

Omistajatiedoilla on merkitystä myös pelaajalle suoraan. Kirjoitin keväällä siitä, miten tuleva lisenssimalli voi avata oven kasinotappioiden takaisinperintään ilman paikallista lisenssiä toimineilta yhtiöiltä. Vaatimus on kuitenkin vain yhtä hyvä kuin tieto siitä, kenelle sen osoittaa. Postilaatikkoyhtiö Curaçaossa on huono vastapuoli.

Sama koskee maksuestoja. Suomalaiset luottavat maksublokkeihin enemmän kuin mustiin listoihin, mutta niidenkin teho riippuu siitä, tiedetäänkö, kuka maksun lopulta vastaanottaa.

Mitä tämä tarkoittaa sinulle pelaajana

Curaçao-lisenssi ei tarkoita, että kasino olisi huijari. Moni tällainen sivusto maksaa voitot ajallaan ja toimii moitteettomasti. Mutta lisenssi ei myöskään kerro niin paljon kuin olet ehkä olettanut.

• Tarkista lisenssi ennen talletusta. Lisenssin myöntäjä ja lisenssinumero löytyvät yleensä sivun alalaidasta. ETA-lisenssi, esimerkiksi Maltalta tai Virosta, tarkoittaa verovapaita voittoja ja vahvempaa suojaa riitatilanteessa. Olen käynyt eroja läpi tarkemmin nettikasinot-sivulla.
• Katso, mikä yhtiö sivuston takana on. Jos sama yhtiö pyörittää kymmeniä lähes identtisiä sivustoja, tiedät ainakin, kenen kanssa asioit. Jos yhtiötä ei löydy mistään, sekin on vastaus.
• Iso brändi ei takaa läpinäkyvyyttä. Stake on yksi alan tunnetuimmista nimistä. Silti viranomainen ei ollut varma, kuka sen omistaa.
• Älä anna bonuksen ratkaista. Houkutteleva bonus kertoo markkinointibudjetista, ei omistajasta. Jos kotiutuksessa tulee ongelmia, bonusprosentti ei auta. Toimiva valitusreitti auttaa.
• Muista, että dokumenttisi tallentuvat jonnekin. Tämä vuoto koski viranomaisen järjestelmää, ei kasinoiden. Se kuitenkin muistuttaa, että jokainen lähettämäsi passikopio on tallessa jollakin palvelimella. Pankkitunnuksilla tunnistautuminen vähentää lähetettävien dokumenttien määrää.

Reilu peli?

Rehtipelin koko idea on kysyä yksi asia: onko peli reilu?

Reiluun peliin kuuluu, että tiedät, kenen kanssa pelaat. Curaçao lupasi uudistuksellaan juuri sitä. Vuoto kertoo, että lupaus oli valmis paperilla ennen kuin se oli totta käytännössä.

Toivon, että Suomen tuleva valvoja lukee tämän aineiston huolellisemmin kuin CGA luki omansa. Aikaa markkinan avautumiseen on reilut yhdeksän kuukautta. Sattumalta suunnilleen saman verran kuin Wittmann ehti viettää Curaçaon viranomaisen järjestelmissä.

Pelaajan kannalta ohje on yksinkertaisempi. Jos et saa selville, kuka kasinon omistaa, et saa selville myöskään sitä, kuka vastaa, kun jokin menee pieleen.