La Lituanie perd 600,000 dossiers fonciers

La Lituanie enquête sur la copie illégale de plus de 600 000 entrées de ses registres fonciers et d’entreprises. Avec Malte, la Bulgarie, l’Italie et la France, l’affaire révèle la même faille : l’Europe enregistre les accès à ses bases publiques, mais les surveille mal.

Tout acte de propriété, immatriculation d’entreprise ou contrat hypothécaire repose, en Europe, sur une base de données publique. Ces registres forment l’ossature juridique de la propriété : ils disent qui possède quoi, qui dirige quelle société, qui garantit quelle dette. En 2026, au moins cinq États membres ont vu ces systèmes exposer des millions de documents ou révéler des failles majeures. L’infrastructure numérique la plus élémentaire de nos économies est moins protégée qu’on ne l’imagine.

Voler la clé de l’entreprise de nettoyage

Le 22 mai, le procureur général de Lituanie a confirmé que des attaquants avaient copié illégalement plus de 600 000 entrées des registres fonciers et commerciaux du pays. Les données volées comprenaient des informations sur la propriété immobilière et des documents relatifs à des personnes morales. Le directeur du Centre des registres a démissionné le même jour.

Le point d’entrée est le cœur du problème. Les enquêteurs lituaniens ont établi que des connexions non autorisées venaient de l’étranger, en passant par des systèmes exploités par d’autres institutions publiques. Les attaquants ne se seraient donc pas attaqués directement à la porte principale du registre ; ils auraient compromis un système voisin, déjà considéré comme fiable, puis utilisé ses identifiants pour entrer. Le mécanisme est classique dans la cybersécurité publique : l’interconnexion crée de l’efficacité administrative, mais elle transforme aussi la faiblesse d’un organisme en risque pour tous les autres.

Ces données ont une valeur criminelle immédiate. Associer un nom à un bien immobilier permet de préparer des usurpations d’identité, des demandes de prêt frauduleuses ou des sociétés écrans utilisées pour le blanchiment. Les victimes ne sont pas seulement les administrations embarrassées : ce sont les propriétaires, les entrepreneurs et les banques qui s’appuient sur ces registres pour vérifier la réalité juridique d’un actif.

Cinq pays, une même faiblesse

La Lituanie est le dernier cas connu, mais le schéma dépasse largement les pays baltes. À Malte, une chercheuse en sécurité basée à Berlin a téléchargé 1,3 million de documents d’entreprise depuis le registre des entreprises grâce à une API mal configurée, c’est-à-dire l’interface numérique qui permet à un logiciel d’interroger une base de données. Il n’a pas fallu pirater le système : l’API facturait simplement 0,01 € par document, sans limite d’accès.

En Bulgarie, le ministre de la justice a réclamé le limogeage du directeur de l’Agence des registres après une inspection ayant constaté 60 % de postes vacants et l’absence de responsable de la sécurité de l’information. Ici, la faille n’est pas seulement technique. Elle tient à la capacité même de l’État à faire fonctionner une infrastructure critique avec les compétences nécessaires.

En Italie, le parquet de Naples a démantelé un réseau dans lequel deux policiers auraient effectué environ 730 000 recherches non autorisées dans des bases de données publiques en deux ans, avant de revendre les informations à prix fixe : 25 € pour une consultation du ministère de l’intérieur, 6 à 11 € pour des données fiscales. Le système enregistrait chaque accès, mais n’a jamais signalé l’anomalie. Quatre-vingt-cinq personnes ont été mises en cause. La France a elle aussi connu une série d’atteintes visant des systèmes d’administration publique, dont des incidents affectant plus de 1,2 million de comptes bancaires, selon de précédentes informations de To Brief.

Les cinq cas renvoient à la même défaillance : le contrôle des accès existe sur le papier, pas dans les faits. Les registres savent qui se connecte. Ils ne repèrent pas assez vite quand un comportement devient manifestement anormal.

L’écart entre le droit et les verrous

La directive NIS2, en vigueur dans l’UE depuis octobre 2024, classe les administrations publiques parmi les secteurs soumis aux exigences de cybersécurité les plus élevées. Les registres nationaux relèvent des « entités essentielles » : ils doivent conduire des analyses de risque et déclarer les incidents sous vingt-quatre heures.

L’application reste loin du texte. En Allemagne, qui n’a transposé la directive qu’en décembre 2025, environ 38 % des organisations concernées s’étaient enregistrées auprès de l’autorité fédérale de cybersécurité à l’échéance de mars 2026, selon de précédentes informations de To Brief. On ne sait toujours pas clairement si tous les Länder ont inscrit leurs registres fonciers dans ce dispositif. Le cas allemand compte, car il montre que même les administrations les mieux dotées peinent à transformer une obligation européenne en pratique opérationnelle.

La Lituanie avait déjà transposé NIS2 lorsque ses registres ont été compromis. La directive impose des contrôles d’accès, mais elle ne prescrit pas explicitement la détection automatisée des anomalies. En clair, si un utilisateur qui lance habituellement dix requêtes par jour en lance soudain dix mille, le système devrait déclencher une alerte. Aucun des registres cités ne semble avoir disposé de cette capacité au moment critique.

L’architecture estonienne X-Road offre un contre-exemple partiel. Chaque requête entre systèmes publics reçoit une signature numérique infalsifiable, ce qui permet de savoir précisément qui a consulté quoi, et quand. Une extraction massive devient beaucoup plus difficile à dissimuler. Même ce modèle ne supprime pas le risque posé par un agent disposant d’identifiants légitimes : il le rend seulement plus visible.

Ces registres n’ont pas la charge émotionnelle d’une attaque par rançongiciel contre un hôpital. Ils sont pourtant la plomberie juridique des économies européennes. Quand elle fuit, les gagnants sont les fraudeurs, les intermédiaires opaques et les réseaux qui monétisent les données personnelles ; les perdants sont les citoyens, les entreprises honnêtes et les États dont l’autorité repose sur la fiabilité de leurs propres fichiers. La régulation européenne a posé le cadre. Les serrures, elles, restent trop souvent celles d’un autre âge.