Litauen mister 600,000 ejendomsoplysninger

Alle skøder, selskabsregistreringer og pantebreve i Europa ligger i offentlige databaser. Registrene er ejerskabets juridiske rygrad. I 2026 har mindst fem EU-lande haft større brud på netop den type systemer, og millioner af poster er blevet blotlagt. Europas mest grundlæggende digitale infrastruktur er dårligere beskyttet, end borgerne har grund til at tro.

Nøglen lå hos rengøringsfirmaet

Den 22. maj bekræftede Litauens rigsadvokat, at angribere ulovligt havde kopieret mere end 600.000 poster fra landets ejendoms- og selskabsregistre. De stjålne data omfattede oplysninger om ejerskab af fast ejendom og dokumenter om juridiske enheder. Chefen for Registercentret trådte tilbage samme dag.

Adgangen gør sagen særlig alvorlig. Litauiske efterforskere har konstateret, at uautoriserede logins kom fra udlandet og blev ført gennem systemer hos andre statslige institutioner. Angriberne gik altså ikke direkte efter registerets hoveddør. De kompromitterede et system, som registeret allerede stolede på, og brugte dets adgangsoplysninger. Det svarer til at bryde ind i en bygning ved at stjæle nøglen fra rengøringsselskabet.

Dataene har klar kriminel værdi. Ejendomsoplysninger koblet med ejernavne kan bruges til identitetssvindel, falske låneansøgninger eller skuffeselskaber oprettet til hvidvask.

Fem lande, samme svaghed

Litauen er det nyeste tilfælde, men mønsteret går igen på tværs af Europa.

I Malta downloadede en sikkerhedsforsker med base i Berlin 1,3 mio. selskabsdokumenter fra landets virksomhedsregister via en forkert konfigureret API, altså den digitale grænseflade, som software bruger til at hente data fra en database. Der var ikke brug for hacking. API'en tog ganske enkelt 0,01 euro pr. dokument og havde ingen adgangsbegrænsning.

I Bulgarien krævede justitsministeren registermyndighedens direktør fyret, efter at en inspektion fandt, at 60 % af stillingerne stod ubesat, og at myndigheden ikke havde en informationssikkerhedschef.

I Italien optrævlede anklagere i Napoli et netværk, hvor to politibetjente over to år foretog omkring 730.000 uautoriserede opslag i statslige databaser og solgte persondata til faste priser: 25 euro for et opslag i indenrigsministeriets systemer og 6-11 euro for skatteoplysninger. Systemet loggede hvert opslag, men markerede aldrig mønsteret. 85 personer blev efterforsket. Også Frankrig har ifølge To Briefs tidligere dækning oplevet en bølge af brud i offentlige systemer, blandt andet hændelser, der berørte over 1,2 mio. bankkonti.

Fælles for alle fem sager er svigtende adgangsovervågning. Registrene noterede, hvem der loggede ind, men opdagede ikke, når adfærden blev unormal.

Afstanden mellem lov og lås

EU's NIS2-direktiv, som har været gældende siden oktober 2024, placerer offentlig forvaltning blandt de sektorer, der skal leve op til de højeste cybersikkerhedskrav. Nationale registre hører til de såkaldt væsentlige enheder og er derfor omfattet af krav om risikovurderinger og indberetning af hændelser inden for 24 timer.

Gennemførelsen halter efter lovteksten. I Tyskland, som først omsatte direktivet til national ret i december 2025, havde kun omkring 38 % af de berørte organisationer registreret sig hos den føderale cybersikkerhedsmyndighed ved fristen i marts 2026, ifølge To Briefs tidligere dækning. Det er fortsat uklart, om alle tyske delstater overhovedet har registreret deres ejendomsregistre.

Litauen havde allerede gennemført NIS2, da registrene blev brudt. Direktivet kræver adgangskontrol, men stiller ikke udtrykkeligt krav om automatiseret overvågning af afvigelser. I praksis burde et system slå alarm, hvis en bruger, der normalt laver ti opslag om dagen, pludselig laver 10.000. Ingen af disse registre havde den kapacitet.

Estlands X-Road-arkitektur viser en delvis vej frem. Hver forespørgsel mellem offentlige systemer får en manipulationssikker digital signatur, så det bliver dokumenteret, hvem der tilgik hvad og hvornår. Masseudtræk bliver dermed langt sværere at skjule. Selv X-Road kan dog ikke fuldt ud forhindre misbrug fra en insider med legitime adgangsoplysninger.

Registrene viser, hvem der ejer et hus, hvem der leder et selskab, og hvem der har pant i en ejendom. De skaber ikke samme opmærksomhed som et ransomware-angreb på et hospital. Men de er det juridiske rørsystem under Europas økonomier, og det rørsystem lækker nu flere steder på kontinentet. EU's regler har endnu ikke indhentet truslens praktiske omfang.