Litvě uniklo 600,000 majetkových záznamů

Právní jistota vlastnictví v Evropě dnes stojí na státních databázích. V nich jsou uložené listy vlastnictví, zápisy firem i záznamy o hypotékách. V roce 2026 zasáhly velké úniky právě těchto systémů nejméně pět členských států EU a odkryly miliony záznamů. Digitální infrastruktura, o kterou se opírá vlastnictví i podnikání, je chráněná hůř, než většina lidí předpokládá.

Ukradený klíč od úklidové firmy

Dne 22. května potvrdila litevská Generální prokuratura, že útočníci nelegálně zkopírovali více než 600 000 záznamů z registrů nemovitostí a firem. Mezi ukradenými daty byly údaje o vlastnictví realit i dokumenty právnických osob. Šéf litevského Centra registrů téhož dne rezignoval.

Znepokojivý je hlavně způsob průniku. Litevští vyšetřovatelé zjistili, že neoprávněná přihlášení přicházela ze zahraničí přes systémy jiných státních institucí. Útočníci tedy neútočili přímo na hlavní vstup registru. Ovládli důvěryhodný sousední systém a použili jeho oprávnění. Je to podobné, jako kdyby se někdo nedobýval do budovy přes zámek, ale sebral klíč firmě, která v ní uklízí.

Taková data mají přímou kriminální hodnotu. Záznamy o nemovitostech spojené se jmény vlastníků mohou sloužit ke krádežím identity, podvodným žádostem o hypotéku nebo k zakládání skořápkových firem využívaných k praní peněz.

Pět zemí, stejná slabina

Litva je nejnovější případ, ale vzorec je evropský.

Na Maltě si bezpečnostní výzkumnice působící v Berlíně stáhla 1,3 milionu firemních dokumentů z obchodního rejstříku přes špatně nastavené API, tedy digitální rozhraní, přes které se software dotazuje databáze. Nebylo třeba nic prolomit. Rozhraní účtovalo 0,01 € za dokument a nemělo nastavené limity přístupu.

V Bulharsku požádal ministr spravedlnosti o odvolání ředitelky Agentury pro zápisy poté, co kontrola zjistila, že 60 % pracovních míst je neobsazených a instituce nemá zaměstnance odpovědného za informační bezpečnost.

V Itálii rozkryla neapolská prokuratura síť, v níž dva policisté během dvou let provedli přibližně 730 000 neoprávněných dotazů do státních databází a prodávali osobní údaje za pevné sazby: 25 € za vyhledání v databázi ministerstva vnitra, 6 až 11 € za daňové záznamy. Systém sice zaznamenal každý přístup, ale opakující se vzorec nikdo nevyhodnotil. Vyšetřováno bylo 85 lidí. Také Francie čelila sérii průniků do systémů veřejné správy, včetně incidentů, které podle dřívějších zjištění To Brief zasáhly více než 1,2 milionu bankovních účtů.

Všech pět případů spojuje selhání monitoringu přístupů. Registry věděly, kdo se přihlásil. Nevšimly si ale, kdy se běžné chování změnilo v anomálii.

Mezera mezi pravidly a zámky

Evropská směrnice NIS2, účinná od října 2024, řadí veřejnou správu mezi sektory s nejvyššími požadavky na kybernetickou bezpečnost. Národní registry spadají mezi takzvané základní subjekty. To znamená povinné hodnocení rizik a hlášení incidentů do 24 hodin.

Zavádění pravidel ale za textem směrnice zaostává. V Německu, které NIS2 převedlo do národního práva až v prosinci 2025, se do březnového termínu roku 2026 zaregistrovalo u spolkového úřadu pro kybernetickou bezpečnost jen zhruba 38 % dotčených organizací, podle dřívějších zjištění To Brief. Není ani jasné, zda všechny německé spolkové země zaregistrovaly své katastrální registry.

Litva už měla NIS2 převedenou do národního práva, když k útoku na registry došlo. Směrnice vyžaduje kontrolu přístupů, výslovně ale nenařizuje automatické vyhledávání anomálií. Prakticky řečeno: pokud uživatel, který běžně provede deset dotazů denně, najednou provede deset tisíc dotazů, systém by měl spustit poplach. Tyto registry takovou schopnost neměly.

Částečnou protiváhu nabízí estonská architektura X-Road. Každý dotaz mezi státními systémy dostává digitální podpis odolný proti zpětné manipulaci, takže vzniká přesný záznam o tom, kdo, kdy a k čemu přistupoval. Masové kopírování dat se tím hůř skrývá. Ani X-Road však nedokáže úplně zabránit zneužití ze strany člověka, který má legitimní oprávnění.

Tyto registry evidují, kdo vlastní dům, kdo řídí firmu a kdo drží hypotéku. Nemají viditelnost ransomwarového útoku na nemocnici. Jsou ale právním potrubím evropských ekonomik a z tohoto potrubí po celém kontinentu unikají data. Evropská regulace zatím nedohnala rozsah hrozby.