600,000 litván ingatlanadat tűnt el

Európában minden tulajdoni lap, cégbejegyzés és jelzálogadat valamelyik állami adatbázisban van. Ezek a nyilvántartások adják a tulajdonjog jogi hátterét. 2026-ban legalább öt uniós tagállamban érte súlyos incidens éppen ezeket a rendszereket, milliós nagyságrendben téve hozzáférhetővé adatokat. Az európai digitális állam egyik legalapvetőbb infrastruktúrája kevésbé védett, mint azt a polgárok többsége feltételezi.

A takarítócég kulcsát lopták el

A litván főügyészség május 22-én erősítette meg, hogy támadók illegálisan több mint 600 000 rekordot másoltak le az ország ingatlan- és cégnyilvántartásaiból. Az adatok között ingatlantulajdonosi információk és jogi személyekre vonatkozó bejegyzések is voltak. A Nyilvántartási Központ vezetője még aznap lemondott.

Az ügyet a belépési pont teszi különösen aggasztóvá. A litván nyomozók szerint a jogosulatlan bejelentkezések külföldről érkeztek, de más állami intézmények rendszerein keresztül. A támadók nem közvetlenül a nyilvántartás külső védelmét törték át, hanem egy megbízható szomszédos rendszert kompromittáltak, majd annak hozzáférésével jutottak be. Mintha valaki nem a főbejárat zárját feszítené fel, hanem a takarítócég kulcsát szerezné meg.

Az ellopott adatoknak közvetlen bűnügyi értékük van. A tulajdonosi adatok és a nevek együtt személyazonosság-lopáshoz, hamis jelzálogkérelmekhez vagy pénzmosásra létrehozott fedőcégekhez használhatók.

Öt ország, ugyanaz a gyenge pont

Litvánia a legfrissebb eset, de a minta egész Európában látszik.

Máltán egy berlini biztonsági kutató 1,3 millió cégdokumentumot töltött le az üzleti nyilvántartásból egy rosszul beállított API-n keresztül. Az API az a digitális felület, amelyen keresztül egy szoftver adatbázisokat kérdez le. Feltörésre nem volt szükség: a rendszer dokumentumonként 0,01 eurót számolt fel, de nem korlátozta a hozzáférések számát.

Bulgáriában az igazságügyi miniszter a Nyilvántartási Ügynökség igazgatójának menesztését kérte, miután egy vizsgálat azt találta, hogy az álláshelyek 60 százaléka betöltetlen, és az intézménynél nincs információbiztonsági felelős.

Olaszországban a nápolyi ügyészség egy olyan hálózatot számolt fel, amelyben két rendőr két év alatt nagyjából 730 000 jogosulatlan lekérdezést végzett állami adatbázisokban, majd fix árakon adta tovább a személyes adatokat: egy belügyminisztériumi lekérdezés 25 euróba, az adóadatok 6–11 euróba kerültek. A rendszer minden hozzáférést naplózott, de a mintázatot nem jelezte. Az ügyben 85 embert vizsgáltak. Franciaországban szintén több támadás érte a közigazgatási rendszereket, köztük olyan incidensek is, amelyek a To Brief korábbi beszámolói szerint több mint 1,2 millió bankszámlát érintettek.

Az öt ügy közös pontja a hozzáférések ellenőrzésének kudarca. A nyilvántartások rögzítették, ki jelentkezett be, de nem vették észre, amikor a belépések és lekérdezések mintázata rendellenessé vált.

A szabályok és a zárak közti rés

Az EU NIS2 irányelve, amely 2024 októbere óta hatályos, a közigazgatást azok közé az ágazatok közé sorolja, amelyeknek a legmagasabb kiberbiztonsági követelményeknek kell megfelelniük. A nemzeti nyilvántartások „alapvető szervezetnek” minősülnek, ezért kötelező kockázatértékelés és 24 órán belüli incidensjelentés vonatkozik rájuk.

A végrehajtás messze elmarad a jogszabály szövegétől. Németországban, amely csak 2025 decemberében ültette át az irányelvet, az érintett szervezetek nagyjából 38 százaléka regisztrált a szövetségi kiberbiztonsági hatóságnál a 2026. márciusi határidőig, a To Brief korábbi beszámolója szerint. Az sem világos, hogy minden német tartomány regisztrálta-e egyáltalán az ingatlan-nyilvántartásait.

Litvánia már átültette a NIS2-t, amikor a nyilvántartásait támadás érte. Az irányelv előír hozzáférés-ellenőrzést, de nem követeli meg kifejezetten az automatikus anomáliadetektálást. A gyakorlatban ez azt jelentené, hogy ha valaki, aki naponta általában tíz lekérdezést futtat, hirtelen tízezret indít, a rendszernek riasztania kellene. Ezekben a nyilvántartásokban ez a képesség hiányzott.

Észtország X-Road architektúrája részleges ellenpélda. Az állami rendszerek közötti minden lekérdezés manipulálhatatlan digitális aláírást kap, így pontosan követhető, ki, mikor és mihez fért hozzá. A tömeges adatkinyerést így jóval nehezebb elrejteni. Az X-Road sem tudja azonban teljesen megakadályozni, hogy egy belső szereplő visszaéljen a legitim hozzáférésével.

Ezek a nyilvántartások tartják számon, kinek van háza, ki vezet céget, kinek van jelzáloghitele. Nincs bennük annyi látható dráma, mint egy kórházat megbénító zsarolóvírus-támadásban. Mégis ezek adják az európai gazdaságok jogi vezetékrendszerét, és ez a rendszer több ponton szivárog. Az európai szabályozás egyelőre nem érte utol a fenyegetés méretét.