Lituania pierde 600,000 registros inmobiliarios

Cada escritura de propiedad, inscripción mercantil o registro hipotecario en Europa descansa en una base de datos pública. Estos registros son la base legal de la propiedad y de buena parte de la actividad económica. En 2026, al menos cinco Estados miembros de la UE han sufrido brechas graves en sistemas de este tipo, con millones de documentos expuestos. La infraestructura digital más básica de Europa está bastante menos protegida de lo que muchos ciudadanos suponen.

Robar la llave de la empresa de limpieza

El 22 de mayo, la Fiscalía General de Lituania confirmó que unos atacantes habían copiado ilegalmente más de 600.000 registros de los registros inmobiliarios y mercantiles del país. Los datos sustraídos incluían información sobre titularidad de inmuebles y documentación de personas jurídicas. El director del Centro de Registros dimitió ese mismo día.

La vía de entrada explica la gravedad del caso. Los investigadores lituanos determinaron que los accesos no autorizados procedían del extranjero y se canalizaron a través de sistemas gestionados por otras instituciones públicas. Los atacantes no forzaron la puerta principal del registro: comprometieron un sistema público vecino, de confianza, y utilizaron sus credenciales para entrar. Es el equivalente digital a acceder a un edificio tras robar la llave de la empresa de limpieza.

Los datos robados tienen valor delictivo inmediato. Los registros de propiedad asociados a nombres de titulares pueden alimentar fraudes de identidad, solicitudes hipotecarias falsas o sociedades pantalla utilizadas para blanquear capitales.

Cinco países, la misma debilidad

Lituania es el caso más reciente, pero el patrón se repite en todo el continente.

En Malta, una investigadora de seguridad con base en Berlín descargó 1,3 millones de documentos mercantiles del registro empresarial a través de una API mal configurada, la interfaz digital que permite a un programa consultar una base de datos. No hizo falta piratear nada. La API cobraba simplemente 0,01 euros por documento y no imponía límites de acceso.

En Bulgaria, el ministro de Justicia pidió el cese del director de la Agencia de Registros después de que una inspección detectara que el 60% de los puestos estaban vacantes y que no había ningún responsable de seguridad de la información en plantilla.

En Italia, la Fiscalía de Nápoles desmanteló una red en la que dos policías realizaron unas 730.000 consultas no autorizadas a bases de datos estatales durante dos años y vendieron información personal a tarifas fijas: 25 euros por consulta al Ministerio del Interior y entre 6 y 11 euros por registros fiscales. El sistema registraba cada acceso, pero nunca detectó el patrón. Se investigó a 85 personas. Francia también ha sufrido una oleada de brechas en sistemas de la Administración pública, incluidos incidentes que afectaron a más de 1,2 millones de cuentas bancarias, según informaciones anteriores de To Brief.

Los cinco casos comparten un mismo fallo: la vigilancia del acceso. Los registros sabían quién entraba, pero no detectaban cuándo esos accesos dejaban de ser normales.

La distancia entre la ley y las cerraduras

La directiva NIS2 de la UE, en vigor desde octubre de 2024, incluye a la Administración pública entre los sectores sujetos a los estándares más altos de ciberseguridad. Los registros nacionales encajan en la categoría de «entidades esenciales», con evaluaciones de riesgo obligatorias y comunicación de incidentes en un plazo de 24 horas.

La aplicación práctica va muy por detrás del texto legal. En Alemania, que no incorporó la directiva a su legislación hasta diciembre de 2025, alrededor del 38% de las organizaciones afectadas se habían registrado ante la autoridad federal de ciberseguridad antes del plazo de marzo de 2026, según informaciones anteriores de To Brief. Ni siquiera está claro si todos los Länder alemanes han inscrito ya sus registros de la propiedad.

Lituania ya había transpuesto la NIS2 cuando se produjo la brecha. La directiva exige controles de acceso, pero no obliga de forma explícita a contar con detección automática de anomalías. En la práctica, si alguien que normalmente realiza diez consultas al día pasa de repente a hacer diez mil, el sistema debería activar una alerta. Ninguno de estos registros tenía esa capacidad.

La arquitectura X-Road de Estonia ofrece un contraejemplo parcial. Cada consulta entre sistemas públicos recibe una firma digital inalterable, lo que genera un rastro detallado de quién accedió a qué y cuándo. Extraer datos de forma masiva resulta mucho más difícil de ocultar. Aun así, ni siquiera X-Road puede impedir por completo el abuso de alguien que dispone de credenciales legítimas.

Estos registros dicen quién posee una vivienda, quién administra una empresa y quién tiene una hipoteca. No tienen la carga dramática de un ataque de ransomware contra un hospital, pero son la fontanería legal de las economías europeas, y esa fontanería está perdiendo agua en varios puntos del continente. La arquitectura regulatoria europea todavía no ha alcanzado la escala de la amenaza.