Не только лицензия: что расследование Casino Secrets говорит о системных рисках офшорного iGaming

22 сентября 2026 года международная группа журналистов опубликовала расследование Casino Secrets, посвященное работе Curaçao Gaming Authority, владельцам лицензированных на острове компаний и связям между операторами онлайн-казино, поставщиками программного обеспечения и платежной инфраструктурой.

В проекте участвовали специалист по информационной безопасности Лилит Виттманн, немецкая телерадиокомпания NDR, норвежская NRK, шведская SVT и издание Follow the Money. Авторы сообщают, что работали с внутренними материалами регуляторов и данными торговых реестров нескольких стран. Всего проект, по их информации, охватывает более 84 тысяч документов, свыше 2 ТБ данных и около тысячи iGaming-компаний.

Одна из публикаций посвящена устройству лицензирования на Кюрасао, другая — группе компаний, работающих под брендом SOFTSWISS, и ее возможным связям с рядом формально независимых операторов.

Для отрасли эта история важна не столько перечнем имен и компаний, сколько вопросами, которые она ставит перед рынком. Где заканчивается ответственность разработчика платформы и начинается ответственность оператора? Насколько лицензия позволяет понять, кто фактически контролирует казино? Можно ли считать компании независимыми, если они связаны финансированием, инфраструктурой и денежными потоками? И достаточно ли аффилейту проверить лицензию и название юридического лица перед началом сотрудничества?

Пока опубликованные материалы не привели к окончательным решениям судов или регуляторов. Ряд выводов расследования оспаривается упомянутыми сторонами. Поэтому корректнее рассматривать Casino Secrets не как готовый юридический вердикт, а как повод подробнее изучить устройство офшорного iGaming и потенциальные слабые места сложившейся модели.

Casino Secrets: как появилось расследование?

По словам Лилит Виттманн, в декабре 2025 года она обнаружила уязвимость в информационной системе Curaçao Gaming Authority. Полученный доступ якобы позволял видеть лицензионные заявки, сведения о владельцах и директорах компаний, бизнес-планы, финансовые документы, переписку, внутренние комментарии и результаты проверок.

Исследовательница утверждает, что доступ сохранялся около девяти месяцев. CGA сообщила о закрытии уязвимости и заявила, что серьезно относится к произошедшему. Однако сама ситуация создает отдельный вопрос: насколько надежно защищены документы, которые операторы передают регуляторам в рамках лицензирования.

В таких системах могут храниться копии паспортов, банковские выписки, сведения об источниках состояния, корпоративные схемы, адреса проживания, справки об отсутствии судимости и другая чувствительная информация. Утечка подобных данных представляет риск не только для регулятора, но и для владельцев, директоров, сотрудников и контрагентов лицензированных компаний.

Авторы Casino Secrets использовали полученные документы вместе с информацией из торговых реестров Мальты, Кипра, Эстонии, Германии, Кюрасао и других юрисдикций. Это позволило им сопоставить формальное владение компаниями, движение средств, договоры на использование программного обеспечения и фактическую деятельность казино.

Важно учитывать, что часть опубликованных выводов представляет собой журналистскую интерпретацию большого массива данных. Наличие договора, платежа или общего поставщика еще не доказывает наличие единого управления. Но совокупность таких связей может стать основанием для дополнительных проверок.

Лицензирование на Кюрасао: данные расследования

Кюрасао много лет остается одной из наиболее заметных юрисдикций в международном онлайн-гемблинге. Ее лицензии используются операторами, работающими сразу с несколькими GEO, включая страны, где местные регуляторы не признают такую лицензию достаточным основанием для приема игроков.

Одна из главных претензий авторов расследования состоит в том, что CGA и привлеченные ею консультанты могли знать о присутствии отдельных операторов на проблемных или закрытых рынках.

В опубликованных документах упоминаются риски работы в Германии, Австрии, Австралии, Южной Африке и некоторых других странах. В отдельных случаях проверяющие требовали геоблокировать США, Нидерланды, Кюрасао, Онтарио и санкционные территории. При этом работа в других юрисдикциях, где лицензия Кюрасао также не дает местного разрешения, могла рассматриваться скорее как управляемый коммерческий риск.

Этот момент принципиально важен. Лицензия подтверждает, что компания получила разрешение определенной юрисдикции. Но она не превращается в универсальное право принимать игроков по всему миру.

Оператор обязан отдельно учитывать законодательство каждого целевого рынка. Если в стране требуется местная лицензия, разрешение Кюрасао не заменяет ее. То же касается рекламы, платежей, партнерского маркетинга, KYC, ответственной игры и защиты персональных данных.

Для игроков и части коммерческих партнеров разница между «компания имеет лицензию» и «компания имеет право работать в конкретной стране» остается неочевидной. Расследование еще раз показывает, насколько опасно смешивать эти понятия.

Выдача игорных лицензий: кто на самом деле принимает решение

Еще один важный вывод касается роли внешних подрядчиков.

Судя по изученным материалам, значительная часть предварительной проверки заявителей выполнялась не непосредственно сотрудниками CGA, а частными консультационными компаниями с Мальты и Кипра. Они проверяли документы, анализировали владельцев и готовили заключения о соответствии заявителя требованиям.

Использование внешних консультантов само по себе не является чем-то необычным. Регуляторам необходимы специалисты по корпоративному праву, финансовому мониторингу, техническому аудиту и международному compliance.

Проблема возникает, когда граница между консультированием и регуляторным решением становится недостаточно четкой. Если подрядчик не только собирает информацию, но и фактически определяет, насколько заявитель подходит для получения лицензии, появляются вопросы о независимости, конфликте интересов и ответственности за ошибочные решения.

Для рынка это означает, что проверка лицензии не должна ограничиваться поиском компании в официальном реестре. Важно понимать, какие процедуры стоят за записью в этом реестре, кто проводил due diligence и насколько регулярно контролируется лицензиат после выдачи разрешения.

Формально строгая проверка на этапе подачи заявки мало помогает, если последующий надзор не отслеживает смену владельцев, появление новых доменов, выход на запрещенные рынки и изменение платежной инфраструктуры.

Почему схема владения казино становится все сложнее

Современное онлайн-казино редко представляет собой одну компанию, которая самостоятельно владеет брендом, принимает депозиты, управляет платформой, проводит KYC, закупает игры и выплачивает вознаграждение аффилейтам.

Обычно в структуре участвуют:

• лицензиат;
• владелец бренда;
• поставщик казино-платформы;
• агрегатор игр;
• игровые студии;
• платежные компании;
• криптовалютные процессоры;
• провайдеры KYC и AML;
• служба поддержки;
• маркетинговые агентства;
• партнерская программа;
• владельцы доменов и интеллектуальной собственности.

Каждый участник может быть зарегистрирован в отдельной стране. При этом часть функций передается на аутсорсинг, а оплата рассчитывается как фиксированная сумма или процент от игрового дохода.

С коммерческой точки зрения такая структура объяснима. Она позволяет разделить риски, привлекать специализированных поставщиков и запускать новые бренды без разработки всей инфраструктуры с нуля.

Но чем больше элементов появляется в цепочке, тем сложнее ответить на базовый вопрос: кто фактически управляет продуктом и получает основную экономическую выгоду?

Именно этот вопрос находится в центре публикации о SOFTSWISS. Официально бренд представлен как B2B-поставщик технологий для iGaming. Авторы расследования не оспаривают существование этого бизнеса, но предполагают, что отношения с некоторыми формально независимыми операторскими компаниями могли быть значительно теснее обычной модели «поставщик — клиент».

SOFTSWISS отвергает вывод о том, что компания управляет казино, и подчеркивает свою роль поставщика программного обеспечения. В отношении отдельных брендов компания также заявляла, что могла предоставлять программные компоненты или доступ к игровым провайдерам, но не участвовала в операционной деятельности. CGA, в свою очередь, не согласилась с тем, как журналисты описали предполагаемую сеть связанных компаний.

Пока эти разногласия не получили окончательной юридической оценки. Однако само появление такого спора показывает, насколько устаревшим становится формальный подход к определению оператора.

Когда поставщик перестает быть просто поставщиком

Если компания продает оператору стандартную лицензию на программное обеспечение, она обычно не контролирует его ежедневную деятельность. Но в iGaming отношения часто устроены сложнее.

Один технологический партнер может одновременно предоставлять:

• платформу;
• интеграцию игр;
• платежный оркестратор;
• CRM;
• антифрод;
• партнерское ПО;
• криптовалютный процессинг;
• техническую поддержку;
• хостинг;
• аналитику;
• инструменты удержания игроков.

Оплата за услуги может зависеть от GGR или других показателей оператора. Иногда поставщик помогает запустить бренд, настроить платежные маршруты и подключить аффилейтов.

Ни один из этих факторов по отдельности не делает поставщика владельцем казино. Даже получение процента от выручки является распространенной моделью оплаты в B2B.

Однако совокупность факторов может изменить оценку:

• поставщик финансирует запуск оператора;
• сотрудники поставщика участвуют в принятии ключевых решений;
• оператор не располагает собственной командой или капиталом;
• один и тот же круг компаний обслуживает платежи, платформу и маркетинг;
• прибыль регулярно перераспределяется внутри связанной структуры;
• заявленный владелец не может объяснить происхождение средств или свою управленческую роль;
• смена юридического лица не приводит к реальным изменениям в работе бренда.

В такой ситуации регулятору необходимо изучать не только договор на использование платформы, но и фактический контроль.

Для всей B2B-индустрии это потенциально важный сдвиг. Поставщикам становится недостаточно сказать, что за выбор GEO отвечает клиент. Если платформа знает, откуда приходят игроки, обрабатывает транзакции, видит домены и получает долю от дохода, регуляторы могут потребовать более активного контроля.

Почему формальный UBO не всегда дает полный ответ

UBO, или конечный бенефициарный владелец, должен показывать, кто в конечном счете владеет компанией или контролирует ее.

Но запись в реестре не всегда отражает экономическую реальность. Человек может формально владеть компанией, которая полностью зависит от внешнего финансирования, технологий и управленческих решений другой стороны.

С другой стороны, отсутствие большого личного состояния или предыдущего опыта в iGaming не доказывает, что владелец является номинальным. Предприниматель может привлечь инвестиции, получить кредит или купить бизнес с отсрочкой платежа. Поэтому выводы о фиктивности владения требуют более серьезной доказательной базы, чем необычная биография или сложная корпоративная схема.

Для регуляторов основными вопросами должны стать:

• кто предоставил средства для покупки и запуска бизнеса;
• на каких условиях выдано финансирование;
• кто может назначать и увольнять руководство;
• кто утверждает бюджеты и ключевые контракты;
• кто распоряжается банковскими счетами;
• кто несет основные убытки и получает основную прибыль;
• может ли формальный владелец сменить платформу или платежного партнера;
• имеет ли кредитор право вмешиваться в операционное управление.

Именно анализ прав и экономической зависимости помогает отличить обычные коммерческие отношения от скрытого контроля.

Итоги Casino Secrets: что может измениться для лицензирования

После подобных расследований регуляторы обычно усиливают внимание не к одному конкретному бренду, а к используемой рынком модели.

Можно ожидать более глубоких проверок нескольких направлений.

Домены и зеркала

В расследовании отдельно рассматривается возможность быстро добавлять к лицензии дополнительные домены. Технически такая функция упрощает управление брендами, но она же может использоваться для оперативной замены заблокированных адресов.

Вероятно, регуляторы и национальные органы будут уделять больше внимания не отдельному домену, а всей сети связанных адресов, брендов и юридических лиц.

Последствия для операторов

Для операторов главный вывод состоит в том, что корпоративная структура перестает быть внутренним вопросом собственников и юристов.

Она напрямую влияет на:

• сохранение лицензии;
• доступ к банкам и платежным системам;
• отношения с игровыми провайдерами;
• возможность покупать рекламу;
• партнерские договоры;
• стоимость привлечения капитала;
• репутацию бренда.

Даже если оператор не нарушал требования своей лицензионной юрисдикции, проблемы у одного ключевого поставщика могут затронуть всю инфраструктуру. Приостановка платежного процессинга, расторжение договора с платформой или запрос на повторный KYC способны остановить работу быстрее, чем решение регулятора.

Поэтому операторам полезно заранее разделять критические функции и понимать, какие контрагенты образуют единую точку отказа.

Особенно рискованна ситуация, когда одна группа предоставляет платформу, игры, платежи, криптовалютный процессинг, CRM и партнерский софт. Такая вертикальная интеграция удобна и снижает операционные издержки, но повышает зависимость.

Оператору также необходимо хранить документы, подтверждающие самостоятельность решений: протоколы совета директоров, обоснование выбора поставщиков, условия финансирования, процедуры управления конфликтами интересов и доказательства контроля над собственными данными.

Последствия для B2B-провайдеров

Долгое время поставщики программного обеспечения могли занимать относительно комфортную позицию: они предоставляют инструмент, а ответственность за законность его использования несет оператор.

Эта логика постепенно меняется.

Регуляторы, банки и платежные системы все чаще оценивают не только прямого клиента, но и всю цепочку предоставления услуг. Если B2B-компания технически видит GEO игроков, домены, платежи и структуру доходов, от нее могут ожидать реакции на очевидные нарушения.

Это не означает, что платформы должны самостоятельно заменить государственных регуляторов. Но модель полного невмешательства становится все менее убедительной.

B2B-провайдерам придется развивать:

• собственный KYB клиентов;
• регулярный мониторинг лицензий и UBO;
• контроль разрешенных GEO;
• правила работы с дополнительными доменами;
• процедуру расторжения договора при существенных нарушениях;
• проверку источников финансирования;
• управление конфликтами интересов;
• документирование отношений со связанными сторонами.

Для крупных поставщиков это повышает расходы на compliance, но одновременно создает конкурентное преимущество. На регулируемом рынке способность доказать прозрачность может стать не менее важной, чем скорость интеграции или количество игр в агрегаторе.

Что расследование означает для платежных компаний

Платежная инфраструктура — одна из самых уязвимых частей offshore iGaming.

Банк или PSP заключает договор с конкретным юридическим лицом, но платежный путь игрока может включать несколько компаний, торговых наименований и процессинговых партнеров. Если домен, лицензиат и получатель платежа не совпадают, определить реального продавца услуги становится сложно.

После публикации подобных материалов платежные организации могут:

• повторно запросить документы у клиентов;
• проверить связанные компании и директоров;
• пересмотреть merchant category и риск-профиль;
• потребовать список всех обслуживаемых брендов и доменов;
• ограничить отдельные GEO;
• временно удерживать расчеты;
• прекратить обслуживание всей связанной группы.

Для операторов это создает риск кассового разрыва. Для игроков — риск задержки выплат. Для аффилейтов — риск невыплаты комиссии даже в тех случаях, когда сама партнерская программа формально продолжает работать.

Криптовалютные платежи не устраняют проблему. Они меняют способ перемещения средств, но не отменяют AML, санкционные проверки и необходимость устанавливать стороны сделки.

Что важно учесть аффилиатам

Для аффилейтов расследование особенно показательно. Обычно перед запуском трафика проверяются лицензия, репутация бренда, платежная история и условия партнерской программы.

Этого уже недостаточно.

Аффилейт может подписать договор с одной компанией, направлять игроков на бренд второй, видеть лицензию третьей и получать выплаты через четвертую. Все эти компании могут зависеть от общей платформы или платежной инфраструктуры.

Если регулятор, банк или поставщик игр ограничит работу одного участника, последствия быстро распространятся на всю цепочку.

Перед началом сотрудничества желательно проверять:

• точное юридическое лицо в партнерском договоре;
• владельца лицензии;
• владельца бренда и домена;
• GEO, разрешенные конкретной лицензией;
• компанию, которая принимает деньги игроков;
• компанию, выплачивающую партнерскую комиссию;
• правила переноса игроков между юридическими лицами;
• условия закрытия бренда или смены лицензии;
• право программы удерживать выплаты;
• наличие существенной зависимости от одного PSP или платформы.

Особое внимание стоит уделять миграции бренда между компаниями. Для игрока сайт может остаться прежним, но для аффилейта смена оператора способна изменить ответственность за старые долги, статистику, negative carryover и пожизненную комиссию.

Важно также сохранять собственные доказательства: версии договоров, переписку, скриншоты условий, статистику и уведомления о смене лицензиата. При возникновении спора информация в партнерском кабинете может измениться или стать недоступной.

Однако возможное усиление ответственности — это не только дополнительная нагрузка на аффилейтов. Для партнерского рынка оно может стать позитивным изменением.

В последние два-три года аффилейты все чаще сталкиваются с потоком однотипных казино, которые быстро запускаются на общей платформе, работают несколько месяцев, активно покупают трафик, а затем закрываются или перестают выполнять обязательства перед игроками и партнерами. На месте одного бренда вскоре может появиться другой — с похожим дизайном, теми же играми, условиями и платежными решениями, но с новым доменом и юридическим лицом.

Не каждый короткоживущий бренд создается с целью обмана: причиной закрытия могут быть неудачная экономика, проблемы с платежами, блокировки или слабое управление. Но для аффилейта итог часто одинаков — неоплаченные счета, потерянный трафик, негатив со стороны игроков и отсутствие стороны, с которой реально можно взыскать задолженность.

Поставщики платформ, платежные партнеры, агрегаторы и другие подрядчики при этом традиционно ссылаются на то, что не отвечают за действия оператора. Формально такая позиция может соответствовать условиям договоров. На практике же именно их инфраструктура позволяет быстро запускать новые бренды и переносить деятельность с одной компании на другую.

Если требования к проверке клиентов и распределению ответственности станут строже, поток подобных клонов может сократиться. Платформы и другие B2B-поставщики будут осторожнее подключать проекты без понятного финансирования, опытной команды и прозрачной структуры владения. Регуляторы смогут оценивать не только отдельный бренд, но и историю людей, компаний и инфраструктуры, стоящих за серией похожих запусков.

Для добросовестных аффилейтов это может означать:

• меньше краткосрочных и непрозрачных партнерских программ;
• снижение риска неоплаченных комиссий;
• более тщательный отбор операторов со стороны платформ и PSP;
• сохранение обязательств при смене домена, лицензии или юридического лица;
• более понятную ответственность за игроков и партнерские долги;
• постепенное очищение рынка от проектов, построенных на постоянном перезапуске брендов.

Если каждый участник цепочки начнет учитывать не только доход, но и собственные риски, запуск очередного клона перестанет быть почти беззатратным решением. Это не устранит недобросовестных операторов полностью, но может сделать модель «открыться на несколько месяцев, собрать депозиты и партнерский трафик, а затем исчезнуть» значительно сложнее и дороже.

Для аффилейт-индустрии такой результат, вероятно, был бы одним из наиболее полезных последствий усиления прозрачности рынка.

Изменится ли рынок white label?

White label остается важной моделью iGaming. Она позволяет предпринимателю запустить казино без создания собственной платформы, команды интеграции и сложной платежной инфраструктуры.

Само по себе использование white label не говорит о нарушениях. Тысячи легальных продуктов работают по аналогичной схеме.

Но расследование показывает главный риск модели: формальный оператор может иметь слишком мало реального контроля над продуктом.

Если платформа определяет техническую архитектуру, подключает платежи, предоставляет поддержку, управляет играми и получает процент от GGR, у регулятора возникает вопрос, кто действительно должен проходить основную проверку.

В ближайшие годы white-label-провайдерам, вероятно, придется точнее разделять:

• владение брендом;
• владение данными игроков;
• принятие решений по KYC и AML;
• управление выплатами;
• выбор целевых рынков;
• ответственность за рекламу;
• доступ к банковским и криптовалютным счетам.

Модель не исчезнет, но может стать менее анонимной и более дорогой. Запуск «казино под ключ» будет требовать не только маркетингового бюджета, но и доказательств управленческой компетентности, независимого капитала и реального контроля.

Почему последствия могут выйти за пределы Кюрасао?

Ошибочно воспринимать Casino Secrets исключительно как историю о слабом офшорном регуляторе.

Сложные корпоративные сети используются не только на Кюрасао. Компании из одной экосистемы могут иметь лицензии Мальты, Эстонии и других стран, а также регистрации на Кипре, острове Мэн, в Польше, Литве, Коста-Рике или Канаде.

Это означает, что последствия могут затронуть:

• европейские торговые реестры;
• национальные налоговые органы;
• банки и EMI;
• криптовалютные платформы;
• игровые студии;
• рекламные сети;
• хостинг-провайдеров;
• аффилейт-платформы;
• регуляторов локальных рынков.

Для национального регулятора иногда эффективнее воздействовать не на офшорное казино, а на его инфраструктуру. Заблокировать домен можно временно, а ограничение платежей, игр или программного обеспечения способно повлиять сразу на десятки брендов.

Именно поэтому B2B-поставщики все чаще становятся частью enforcement. Их роль уже нельзя считать полностью нейтральной, особенно если они обладают данными о клиентах, доменах, транзакциях и целевых странах.

Что в этой истории пока не доказано?

При анализе расследования важно не подменять вопросы готовыми выводами.

Опубликованные материалы сами по себе не доказывают, что:

• все компании одной технологической экосистемы находятся под единым управлением;
• каждый внутригрупповой заем скрывает номинальное владение;
• поставщик программного обеспечения отвечает за каждое нарушение клиента;
• сложная корпоративная структура автоматически создана для обхода закона;
• все казино, использующие одну платформу, представляют собой одного оператора.

Для таких выводов необходимы решения компетентных органов, анализ договоров, прав управления, банковских данных и показаний участников.

Но расследование дает достаточно оснований для более глубоких проверок. Оно показывает несоответствие между простой картиной в лицензионном реестре и значительно более сложной системой экономических отношений.

Именно это, вероятно, станет его главным последствием.

Рынку придется доказывать не форму, а содержание

Casino Secrets появилось в момент, когда iGaming уже движется от формального compliance к оценке фактического риска.

Раньше компании было достаточно показать лицензию, UBO, договор с платформой и набор AML-политик. Теперь регуляторы и финансовые партнеры хотят понимать, как эти документы работают на практике.

Кто принимает решения? Кто финансирует компанию? Куда уходит игровой доход? Кто контролирует домены? Какая компания отвечает перед игроком? Может ли оператор самостоятельно сменить поставщика? И знает ли платформа, что ее технологии используются на рынке без местного разрешения?

Для добросовестных участников это означает рост расходов на проверки и отчетность. Но одновременно прозрачность может стать конкурентным преимуществом. Операторы с понятной структурой получат более устойчивый доступ к банкам, провайдерам и регулируемым GEO. Аффилейты смогут точнее оценивать риск, а B2B-компании — отделять собственную репутацию от поведения сомнительных клиентов.

Главный вывод расследования заключается не в том, что офшорная лицензия обязательно ненадежна или что крупный технологический поставщик обязательно управляет своими клиентами.

Вывод в другом: одной лицензии и формального списка владельцев уже недостаточно, чтобы понять, как устроен современный оператор.

Рынку придется научиться видеть всю цепочку — от источника капитала и программного обеспечения до платежей, доменов, партнерского трафика и конечного получателя прибыли. И чем дольше отрасль откладывает эту работу, тем выше вероятность, что правила прозрачности ей установят уже регуляторы, банки и правоохранительные органы.