Leedult varastati 600,000 kinnisvarakirjet

Euroopas on kinnistusaktid, ettevõtete registreeringud ja hüpoteegiandmed riiklikes andmebaasides. Need registrid on omandiõiguse õiguslik alus. 2026. aastal on vähemalt viis EL-i liikmesriiki näinud suuri ründeid just nende süsteemide vastu ning avalikuks on saanud miljoneid kirjeid. Euroopa kõige põhilisem digitaristu on nõrgemini kaitstud, kui kodanikud eeldavad.

Koristusfirma võtmega registrisse

Leedu peaprokuratuur kinnitas 22. mail, et ründajad kopeerisid ebaseaduslikult üle 600 000 kirje riigi kinnisvara- ja ettevõtteregistritest. Varastatud andmed sisaldasid kinnisvara omandiinfot ja juriidiliste isikute dokumente. Registrikeskuse juht astus samal päeval tagasi.

Juhtumi teeb tõsiseks sisenemistee. Leedu uurijate sõnul tulid loata sisselogimised välismaalt ning liikusid teiste riigiasutuste süsteemide kaudu. Ründajad ei murdnud otse registri välispiirdest läbi, vaid kasutasid usaldatud kõrvalsystemi ligipääsu. Sisuliselt ei muugitud lukku lahti, vaid saadi võti ettevõttelt, kellel juba oli majja pääs.

Sellistel andmetel on otsene kuritegelik väärtus. Kinnisvarakirjed koos omanike nimedega aitavad identiteedipettusi, võltsitud hüpoteegitaotlusi või rahapesuks kasutatavate varifirmade loomist.

Viis riiki, sama nõrkus

Leedu juhtum on värskeim, kuid muster kordub üle Euroopa.

Maltal laadis Berliinis tegutsev küberturbeuurija äriregistrist alla 1,3 miljonit ettevõttedokumenti valesti seadistatud API kaudu. API on digitaalne liides, mille kaudu tarkvara saab andmebaasist päringuid teha. Häkkimist polnud vaja. Süsteem küsis iga dokumendi eest lihtsalt 0,01 eurot ega piiranud ligipääsu.

Bulgaarias nõudis justiitsminister registriameti juhi vabastamist, kui kontroll leidis, et 60% ametikohtadest oli täitmata ja asutusel polnud infoturbejuhti.

Itaalias lõpetas Napoli prokuratuur võrgustiku tegevuse, kus kaks politseinikku tegid kahe aasta jooksul riigi andmebaasides ligikaudu 730 000 loata päringut ning müüsid isikuandmeid kindla hinnakirja alusel: 25 eurot siseministeeriumi päringu eest, 6–11 eurot maksuandmete eest. Süsteem logis iga ligipääsu, kuid ei märganud mustrit. Uurimise all oli 85 inimest. Ka Prantsusmaal on avaliku halduse süsteeme tabanud mitu andmeleket, sealhulgas juhtumid, mis puudutasid üle 1,2 miljoni pangakonto, nagu To Brief varem kirjutas.

Kõiki viit juhtumit ühendab ligipääsu jälgimise rike. Registrid salvestasid, kes sisse logis, kuid ei tuvastanud, millal käitumine muutus ebatavaliseks.

Seaduse ja lukkude vahe

EL-i NIS2 direktiiv, mis kehtib alates 2024. aasta oktoobrist, liigitab avaliku halduse sektorite hulka, millelt nõutakse kõrgeimat küberturbe taset. Riiklikud registrid kuuluvad „oluliste üksuste” alla, kellele kehtivad kohustuslikud riskihindamised ja 24 tunni jooksul esitatavad intsidentide teated.

Rakendamine jääb tekstist kaugele maha. Saksamaal, mis võttis direktiivi üle alles 2025. aasta detsembris, oli To Briefi varasema kajastuse järgi 2026. aasta märtsi tähtajaks föderaalse küberturbeameti juures registreerunud umbes 38% puudutatud organisatsioonidest. Ebaselge on isegi see, kas kõik Saksamaa liidumaad on oma kinnistusregistrid registreerinud.

Leedu oli NIS2 juba üle võtnud, kui registritesse sisse murti. Direktiiv nõuab ligipääsukontrolle, kuid ei kirjuta otseselt ette automaatset anomaaliatuvastust. Praktikas peaks süsteem häiret andma, kui inimene, kes teeb tavaliselt kümme päringut päevas, teeb järsku kümme tuhat. Neil registritel sellist võimekust polnud.

Eesti X-tee arhitektuur pakub osalist vastunäidet. Iga päring riigisüsteemide vahel saab võltsimiskindla digiallkirja, mis jätab täpse jälje sellest, kes mida ja millal vaatas. Suurt andmete väljavedu on nii palju raskem varjata. Ka X-tee ei välista siiski kuritarvitust, kui siseringi kasutajal on kehtivad ligipääsuõigused.

Need registrid näitavad, kellele kuulub maja, kes juhib ettevõtet ja kelle nimel on hüpoteek. Haigla lunavararündega võrreldes paistavad need vähem dramaatilised. Tegelikult on need Euroopa majanduste õiguslik torustik ning see lekib üle mandri. Euroopa regulatsioonid pole veel jõudnud ohu tegeliku ulatuseni.