Liettuasta varastettiin 600,000 omistustietoa

Euroopassa omistus nojaa viranomaisrekistereihin. Kiinteistökirjat, yritysrekisterimerkinnät ja asuntolainojen vakuustiedot ovat tietokannoissa, joilla oikeusjärjestelmä tunnistaa, kuka omistaa mitä. Vuonna 2026 ainakin viisi EU-maata on kärsinyt vakavista murroista juuri näihin järjestelmiin. Kansalaisille näkymätön perusinfrastruktuuri on heikommin suojattu kuin moni olettaa.

Sisään siivousfirman avaimella

Liettuan valtakunnansyyttäjä vahvisti 22. toukokuuta, että hyökkääjät olivat kopioineet laittomasti yli 600 000 tietuetta maan kiinteistö- ja yritysrekistereistä. Aineisto sisälsi kiinteistöjen omistustietoja ja oikeushenkilöiden asiakirjoja. Liettuan rekisterikeskuksen johtaja erosi samana päivänä.

Huolestuttavaa on hyökkäysreitti. Liettualaistutkijoiden mukaan luvattomat kirjautumiset tulivat ulkomailta, mutta kulkivat muiden valtion laitosten järjestelmien kautta. Hyökkääjät eivät murtautuneet suoraan rekisteriin, vaan kaappasivat luotetun naapurijärjestelmän tunnukset ja pääsivät sisään niiden avulla. Kyse on samasta periaatteesta kuin rakennukseen murtautumisessa siivousyrityksen avaimella.

Varastetulla datalla on suoraa rikollista arvoa. Kiinteistötiedot yhdistettynä omistajien nimiin voivat tukea identiteettipetoksia, vilpillisiä asuntolainahakemuksia tai rahanpesua varten perustettuja peiteyhtiöitä.

Viisi maata, sama heikko kohta

Liettua on tuorein tapaus, mutta sama malli näkyy eri puolilla Eurooppaa.

Maltalla berliiniläinen tietoturvatutkija latasi yritysrekisteristä 1,3 miljoonaa yritysasiakirjaa väärin määritetyn API-rajapinnan kautta. API on digitaalinen liitäntä, jonka avulla ohjelmisto hakee tietokannasta tietoja. Murtoa ei tarvittu. Rajapinta veloitti 0,01 euroa asiakirjalta, eikä käyttömäärää rajoitettu.

Bulgariassa oikeusministeri vaati rekisteriviraston johtajan erottamista, kun tarkastus löysi virastosta vakavia puutteita: 60 % tehtävistä oli täyttämättä, eikä henkilöstössä ollut tietoturvavastaavaa.

Italiassa Napolin syyttäjät purkivat verkoston, jossa kaksi poliisia teki kahden vuoden aikana noin 730 000 luvatonta hakua valtion tietokantoihin ja myi henkilötietoja kiinteillä hinnoilla: 25 euroa sisäministeriön hausta, 6–11 euroa verotiedoista. Järjestelmä kirjasi jokaisen haun, mutta ei tunnistanut poikkeavaa toimintaa. Tutkinnan kohteena oli 85 ihmistä. Myös Ranskassa julkishallinnon järjestelmiin on kohdistunut useita tietomurtoja, joista osa on To Briefin aiemman raportoinnin mukaan koskenut yli 1,2 miljoonaa pankkitiliä.

Kaikkia viittä tapausta yhdistää käyttöoikeuksien valvonnan pettäminen. Rekisterit kirjasivat, kuka käytti järjestelmää, mutta eivät havainneet, milloin käyttö muuttui epänormaaliksi.

Säännöt eivät vielä riitä

EU:n NIS2-direktiivi on ollut voimassa lokakuusta 2024. Se luokittelee julkishallinnon alaksi, jolta vaaditaan korkeaa kyberturvatasoa. Kansalliset rekisterit kuuluvat "keskeisiin toimijoihin", joilta edellytetään riskinarviointeja ja tietoturvapoikkeamien ilmoittamista 24 tunnin kuluessa.

Täytäntöönpano kulkee kaukana säädöstekstistä. Saksassa direktiivi vietiin kansalliseen lainsäädäntöön vasta joulukuussa 2025. To Briefin aiemman raportoinnin mukaan noin 38 % direktiivin piiriin kuuluvista organisaatioista oli rekisteröitynyt liittovaltion kyberturvaviranomaiselle maaliskuun 2026 määräaikaan mennessä. Epäselvää on, ovatko kaikki Saksan osavaltiot edes rekisteröineet kiinteistörekisterinsä.

Liettua oli jo pannut NIS2:n täytäntöön, kun rekistereihin murtauduttiin. Direktiivi edellyttää käyttöoikeuksien hallintaa, mutta ei nimenomaisesti vaadi automaattista poikkeamahavainnointia. Käytännössä järjestelmän pitäisi hälyttää, jos käyttäjä, joka tekee tavallisesti kymmenen hakua päivässä, tekee yhtäkkiä kymmenentuhatta. Näissä rekistereissä sellaista kykyä ei ollut.

Viro tarjoaa X-Road-arkkitehtuurillaan osittaisen vastakohdan. Jokainen viranomaisjärjestelmien välinen haku saa väärentämättömän digitaalisen allekirjoituksen, jolloin jää tarkka jälki siitä, kuka katsoi mitä ja milloin. Laajamittainen tietojen imurointi on vaikeampi piilottaa. X-Roadkaan ei silti estä täysin väärinkäyttöä, jos tekijällä on aidot tunnukset.

Nämä rekisterit kertovat, kuka omistaa talon, kuka johtaa yritystä ja kenellä on asuntolainan vakuus. Ne eivät herätä samaa huomiota kuin sairaalaan kohdistuva kiristyshaittaohjelma. Silti ne ovat Euroopan talouksien oikeudellista perusinfrastruktuuria. Nyt vuotoja näkyy eri puolilla mannerta, eikä sääntely ole vielä saavuttanut uhan mittakaavaa.