Litvi ukradeno 600,000 imovinskih zapisa

Svaki vlasnički upis, registracija tvrtke i hipoteka u Europi počivaju na državnim bazama podataka. Ti registri nisu pomoćna administracija, nego pravni temelj vlasništva. U 2026. najmanje pet članica EU-a imalo je ozbiljne proboje upravo u takve sustave, pri čemu su izloženi milijuni zapisa. Digitalna infrastruktura na kojoj počiva europsko gospodarstvo zaštićena je slabije nego što građani pretpostavljaju.

Ključ iz susjednog sustava

Litavsko državno odvjetništvo potvrdilo je 22. svibnja da su napadači nezakonito kopirali više od 600.000 zapisa iz državnih registara nekretnina i poslovnih subjekata. Ukradeni podaci uključivali su podatke o vlasništvu nad nekretninama i dokumentaciju pravnih osoba. Čelnik litavskog Centra registara istoga je dana podnio ostavku.

Posebno je zabrinjavajuć način ulaska. Litavski istražitelji utvrdili su da su neovlaštene prijave dolazile iz inozemstva, ali preko sustava drugih državnih institucija. Napadači, dakle, nisu morali probijati glavna vrata registra. Kompromitirali su pouzdani susjedni sustav i preko njegovih vjerodajnica ušli u bazu.

Takvi podaci imaju neposrednu kriminalnu vrijednost. Vlasnički zapisi povezani s imenima vlasnika mogu se koristiti za krađu identiteta, lažne zahtjeve za hipotekarne kredite ili osnivanje fiktivnih tvrtki za pranje novca.

Pet država, ista slabost

Litva je najnoviji slučaj, ali obrazac se ponavlja diljem kontinenta.

Na Malti je sigurnosna istraživačica iz Berlina preuzela 1,3 milijuna poslovnih dokumenata iz Poslovnog registra preko pogrešno podešenog API-ja, digitalnog sučelja koje računalnim programima omogućuje upite u bazu podataka. Nije bilo potrebno hakiranje. Sustav je jednostavno naplaćivao 0,01 € po dokumentu, bez ograničenja pristupa.

U Bugarskoj je ministar pravosuđa zatražio smjenu ravnatelja Agencije za upise nakon što je inspekcija utvrdila da je 60 posto radnih mjesta nepopunjeno i da agencija nema službenika za informacijsku sigurnost.

U Italiji su napuljski tužitelji razbili mrežu u kojoj su dvojica policajaca tijekom dvije godine napravila oko 730.000 neovlaštenih upita u državne baze podataka i prodavala osobne podatke po fiksnim cijenama: 25 € za provjeru u sustavu Ministarstva unutarnjih poslova, 6 do 11 € za porezne podatke. Sustav je bilježio svaki pristup, ali nije prepoznao obrazac. Pod istragom je završilo 85 osoba. I Francuska se suočila s nizom proboja u sustave javne uprave, uključujući incidente koji su zahvatili više od 1,2 milijuna bankovnih računa, prema ranijem izvještavanju To Briefa.

Svih pet slučajeva pokazuje isti propust: nadzor pristupa postoji na papiru, ali ne i u praksi. Registri su znali tko se prijavio, no nisu primijetili kada su obrasci pristupa postali neuobičajeni.

Razmak između zakona i zaštite

Direktiva EU-a NIS2, na snazi od listopada 2024., javnu upravu svrstava među sektore koji moraju imati najviše standarde kibernetičke sigurnosti. Nacionalni registri ulaze u kategoriju „ključnih subjekata”, što znači obvezne procjene rizika i prijavu incidenata u roku od 24 sata.

Provedba znatno zaostaje za tekstom propisa. U Njemačkoj, koja je direktivu prenijela u nacionalno zakonodavstvo tek u prosincu 2025., do roka u ožujku 2026. kod saveznog tijela za kibernetičku sigurnost registriralo se oko 38 posto obveznika, prema ranijem izvještavanju To Briefa. Još nije jasno jesu li sve njemačke savezne zemlje uopće registrirale svoje zemljišne registre.

Litva je NIS2 već prenijela u nacionalno pravo kada su njezini registri probijeni. Direktiva propisuje kontrole pristupa, ali ne zahtijeva izrijekom automatizirano otkrivanje neuobičajenog ponašanja. U praksi, ako netko tko inače radi deset upita dnevno odjednom napravi deset tisuća, sustav bi morao podići uzbunu. U ovim slučajevima takav mehanizam nije postojao.

Estonska arhitektura X-Road pokazuje kako bi dio problema mogao izgledati drukčije. Svaki upit između državnih sustava ondje dobiva digitalni potpis koji se ne može naknadno mijenjati, pa ostaje precizan trag o tome tko je, kada i čemu pristupio. Masovno izvlačenje podataka time je mnogo teže sakriti. Ni X-Road, međutim, ne može potpuno spriječiti zlouporabu ako osoba iznutra ima valjane vjerodajnice.

Ti registri bilježe tko posjeduje kuću, tko vodi tvrtku i tko ima hipoteku. Nemaju dramatičnost ucjenjivačkog napada na bolnicu, ali čine pravnu infrastrukturu europskih gospodarstava. Upravo ta infrastruktura sada propušta na više mjesta, dok europski regulatorni okvir još ne doseže razmjere prijetnje.