Η Λιθουανία χάνει 600,000 μητρώα ακινήτων

Κάθε τίτλος ιδιοκτησίας, κάθε εταιρική εγγραφή και κάθε υποθήκη στην Ευρώπη βρίσκεται σε κρατική βάση δεδομένων. Αυτά τα μητρώα είναι η νομική υποδομή πάνω στην οποία στηρίζεται η ιδιοκτησία. Το 2026, τουλάχιστον πέντε κράτη-μέλη της ΕΕ έχουν δεχθεί σοβαρά πλήγματα σε ακριβώς αυτά τα συστήματα, με διαρροές εκατομμυρίων αρχείων. Η πιο θεμελιώδης ψηφιακή υποδομή της Ευρώπης προστατεύεται πολύ λιγότερο απ’ όσο θεωρούν οι πολίτες της.

Κλέβοντας το κλειδί της εταιρείας καθαρισμού

Στις 22 Μαΐου, ο γενικός εισαγγελέας της Λιθουανίας επιβεβαίωσε ότι οι δράστες είχαν αντιγράψει παράνομα περισσότερα από 600.000 αρχεία από τα κτηματολογικά και εταιρικά μητρώα της χώρας. Τα δεδομένα περιλάμβαναν στοιχεία ιδιοκτησίας ακινήτων και φακέλους νομικών προσώπων. Ο επικεφαλής του Κέντρου Μητρώων παραιτήθηκε την ίδια ημέρα.

Το ανησυχητικό στοιχείο είναι ο τρόπος εισόδου. Οι λιθουανικές αρχές διαπίστωσαν ότι οι μη εξουσιοδοτημένες συνδέσεις έγιναν από το εξωτερικό, μέσω συστημάτων άλλων κρατικών φορέων. Οι επιτιθέμενοι δεν χτύπησαν την κύρια είσοδο του μητρώου. Παραβίασαν ένα γειτονικό, αξιόπιστο σύστημα και χρησιμοποίησαν τα διαπιστευτήριά του για να μπουν κανονικά. Είναι η ψηφιακή εκδοχή μιας διάρρηξης όπου δεν παραβιάζεται η κλειδαριά, αλλά κλέβεται το κλειδί από την εταιρεία καθαρισμού.

Τα κλεμμένα στοιχεία έχουν άμεση αξία για το οργανωμένο οικονομικό έγκλημα. Τα αρχεία ιδιοκτησίας, όταν συνδυάζονται με ονόματα ιδιοκτητών, μπορούν να χρησιμοποιηθούν για κλοπή ταυτότητας, πλαστές αιτήσεις στεγαστικών δανείων ή εταιρείες-κέλυφος που στήνονται για ξέπλυμα χρήματος.

Πέντε χώρες, η ίδια αδυναμία

Η Λιθουανία είναι το πιο πρόσφατο περιστατικό, αλλά το μοτίβο διατρέχει την Ευρώπη.

Στη Μάλτα, ερευνήτρια κυβερνοασφάλειας με έδρα το Βερολίνο κατέβασε 1,3 εκατ. εταιρικά έγγραφα από το Μητρώο Επιχειρήσεων μέσω κακορυθμισμένης ψηφιακής διεπαφής, δηλαδή του εργαλείου που επιτρέπει σε λογισμικά να αντλούν δεδομένα από μια βάση. Δεν χρειάστηκε παραβίαση. Η διεπαφή χρέωνε απλώς 0,01 ευρώ ανά έγγραφο, χωρίς όρια πρόσβασης.

Στη Βουλγαρία, ο υπουργός Δικαιοσύνης ζήτησε την απομάκρυνση της διευθύντριας της Υπηρεσίας Μητρώων, αφού έλεγχος διαπίστωσε ότι το 60% των θέσεων παρέμενε κενό και ότι δεν υπήρχε υπεύθυνος ασφάλειας πληροφοριών.

Στην Ιταλία, οι εισαγγελείς της Νάπολης εξάρθρωσαν δίκτυο στο οποίο δύο αστυνομικοί πραγματοποίησαν περίπου 730.000 μη εξουσιοδοτημένες αναζητήσεις σε κρατικές βάσεις δεδομένων μέσα σε δύο χρόνια, πουλώντας προσωπικά δεδομένα με σταθερό τιμοκατάλογο: 25 ευρώ για αναζήτηση στο υπουργείο Εσωτερικών, 6 έως 11 ευρώ για φορολογικά στοιχεία. Το σύστημα κατέγραφε κάθε πρόσβαση, αλλά δεν εντόπισε ποτέ το μοτίβο. Συνολικά ερευνήθηκαν 85 άτομα. Και η Γαλλία έχει αντιμετωπίσει κύμα παραβιάσεων σε συστήματα της δημόσιας διοίκησης, μεταξύ των οποίων περιστατικά που επηρέασαν πάνω από 1,2 εκατ. τραπεζικούς λογαριασμούς, σύμφωνα με προηγούμενη κάλυψη του To Brief.

Και στις πέντε περιπτώσεις, η κοινή αποτυχία βρίσκεται στην παρακολούθηση της πρόσβασης. Τα μητρώα κατέγραφαν ποιος συνδέθηκε, αλλά δεν αντιλαμβάνονταν πότε η συμπεριφορά αυτή έπαυε να είναι φυσιολογική.

Το κενό ανάμεσα στον νόμο και στις κλειδαριές

Η οδηγία NIS2 της ΕΕ, που ισχύει από τον Οκτώβριο του 2024, κατατάσσει τη δημόσια διοίκηση στους τομείς που οφείλουν να τηρούν τα υψηλότερα πρότυπα κυβερνοασφάλειας. Τα εθνικά μητρώα θεωρούνται «βασικές οντότητες», με υποχρεωτικές αξιολογήσεις κινδύνου και αναφορά περιστατικών μέσα σε 24 ώρες.

Η εφαρμογή, όμως, υστερεί πολύ σε σχέση με το κείμενο του νόμου. Στη Γερμανία, η οποία ενσωμάτωσε την οδηγία μόλις τον Δεκέμβριο του 2025, περίπου 38% των οργανισμών που καλύπτονται από το νέο πλαίσιο είχαν εγγραφεί στην ομοσπονδιακή αρχή κυβερνοασφάλειας έως την προθεσμία του Μαρτίου 2026, σύμφωνα με προηγούμενη κάλυψη του To Brief. Παραμένει ασαφές αν όλα τα γερμανικά κρατίδια έχουν δηλώσει ακόμη και τα κτηματολογικά τους μητρώα.

Η Λιθουανία είχε ήδη ενσωματώσει τη NIS2 όταν παραβιάστηκαν τα μητρώα της. Η οδηγία επιβάλλει ελέγχους πρόσβασης, αλλά δεν απαιτεί ρητά αυτοματοποιημένο εντοπισμό ανωμαλιών. Πρακτικά, αν ένας χρήστης που συνήθως κάνει δέκα αναζητήσεις την ημέρα ξαφνικά κάνει δέκα χιλιάδες, το σύστημα θα έπρεπε να σημάνει συναγερμό. Κανένα από αυτά τα μητρώα δεν διέθετε τέτοια δυνατότητα.

Η αρχιτεκτονική X-Road της Εσθονίας προσφέρει ένα μερικό αντιπαράδειγμα. Κάθε αναζήτηση μεταξύ κρατικών συστημάτων φέρει ψηφιακή υπογραφή που δεν μπορεί να αλλοιωθεί, δημιουργώντας λεπτομερές ίχνος για το ποιος είδε τι και πότε. Η μαζική άντληση δεδομένων γίνεται έτσι πολύ δυσκολότερο να κρυφτεί. Ακόμη και το X-Road, όμως, δεν μπορεί να αποκλείσει πλήρως την κατάχρηση από εσωτερικό χρήστη με νόμιμα διαπιστευτήρια.

Αυτά τα μητρώα δείχνουν ποιος έχει σπίτι, ποιος διοικεί εταιρεία, ποιος έχει υποθήκη. Δεν έχουν τη δραματικότητα μιας επίθεσης ransomware σε νοσοκομείο. Είναι όμως οι σωληνώσεις του νομικού και οικονομικού συστήματος της Ευρώπης, και οι διαρροές πλέον εμφανίζονται σε όλη την ήπειρο. Η ευρωπαϊκή ρυθμιστική αρχιτεκτονική δεν έχει ακόμη προσαρμοστεί στο μέγεθος της απειλής.