Lituania, spariti 600,000 registri immobiliari

Ogni atto di proprietà, iscrizione societaria e ipoteca in Europa poggia su una banca dati pubblica. Sono registri poco visibili, ma costituiscono l'ossatura giuridica della proprietà. Nel 2026 almeno cinque Stati membri dell'UE hanno subito violazioni gravi proprio in questi sistemi, con milioni di dati esposti. L'infrastruttura digitale più elementare dell'Europa è molto meno protetta di quanto i cittadini immaginino.

Rubare la chiave all'impresa di pulizie

Il 22 maggio la procura generale lituana ha confermato che gli aggressori avevano copiato illegalmente oltre 600.000 registrazioni dai registri immobiliari e societari del Paese. I dati sottratti comprendevano informazioni sulla proprietà degli immobili e documenti relativi alle persone giuridiche. Il direttore del Centro registri si è dimesso lo stesso giorno.

A rendere il caso più inquietante è la porta d'ingresso. Gli investigatori lituani hanno accertato che gli accessi non autorizzati arrivavano dall'estero, passando attraverso sistemi gestiti da altre istituzioni statali. Invece di forzare l'ingresso principale del registro, gli aggressori hanno compromesso un sistema pubblico vicino e affidabile, usando quelle credenziali per entrare senza sollevare sospetti: non hanno scassinato la serratura, hanno rubato la chiave all'impresa di pulizie.

Quei dati hanno un valore criminale immediato. Registri immobiliari associati ai nomi dei proprietari possono alimentare frodi d'identità, richieste di mutuo false o società di comodo create per riciclare denaro.

Cinque Paesi, la stessa falla

La Lituania è il caso più recente, ma lo schema attraversa il continente.

A Malta, una ricercatrice di sicurezza basata a Berlino ha scaricato 1,3 milioni di documenti societari dal Business Registry attraverso un'API configurata male, cioè l'interfaccia digitale che consente a un software di interrogare una banca dati. Non è servito alcun attacco informatico sofisticato: l'API faceva pagare 0,01 euro a documento e non imponeva limiti di accesso.

In Bulgaria, il ministro della Giustizia ha chiesto la rimozione del direttore dell'Agenzia dei registri dopo che un'ispezione aveva trovato il 60% dei posti vacanti e nessun responsabile della sicurezza informatica in organico.

In Italia, la procura di Napoli ha smantellato una rete in cui due agenti di polizia avevano effettuato circa 730.000 interrogazioni non autorizzate nelle banche dati statali in due anni, vendendo dati personali a tariffario: 25 euro per una ricerca negli archivi del ministero dell'Interno, 6-11 euro per i dati fiscali. Il sistema registrava ogni accesso, ma non segnalava mai lo schema. Gli indagati sono stati 85. Anche la Francia ha affrontato una serie di violazioni nei sistemi della pubblica amministrazione, compresi episodi che hanno coinvolto oltre 1,2 milioni di conti bancari, secondo precedenti ricostruzioni di To Brief.

I cinque casi hanno in comune lo stesso cedimento: il controllo degli accessi. I registri annotavano chi entrava, ma non si accorgevano quando quei comportamenti diventavano anomali.

La distanza tra la legge e le serrature

La direttiva NIS2, in vigore dall'ottobre 2024, inserisce la pubblica amministrazione tra i settori che devono rispettare gli standard più alti di cybersicurezza. I registri nazionali rientrano tra i "soggetti essenziali", con obblighi di valutazione del rischio e notifica degli incidenti entro 24 ore.

L'attuazione, però, resta molto indietro rispetto al testo. In Germania, che ha recepito la direttiva soltanto nel dicembre 2025, circa il 38% delle organizzazioni interessate si era registrato presso l'autorità federale per la cybersicurezza entro la scadenza di marzo 2026, secondo precedenti ricostruzioni di To Brief. Non è nemmeno chiaro se tutti i Länder tedeschi abbiano registrato i propri archivi immobiliari.

La Lituania aveva già recepito NIS2 quando i registri sono stati violati. La direttiva impone controlli sugli accessi, ma non richiede in modo esplicito sistemi automatici di rilevazione delle anomalie. Tradotto nella pratica: se un utente che di solito effettua dieci interrogazioni al giorno ne esegue improvvisamente diecimila, il sistema dovrebbe far scattare un allarme. Nessuno di questi registri aveva quella capacità.

L'architettura estone X-Road offre un controesempio parziale. Ogni interrogazione tra sistemi pubblici riceve una firma digitale non alterabile, creando una traccia dettagliata di chi abbia consultato cosa e quando. Estrarre dati in massa diventa molto più difficile da nascondere. Anche X-Road, però, non può impedire del tutto l'abuso da parte di un interno che disponga di credenziali legittime.

Questi registri dicono chi possiede una casa, chi amministra una società, chi ha acceso un mutuo. Non hanno la drammaticità di un attacco ransomware contro un ospedale, ma sono l'impianto idraulico giuridico delle economie europee, e quell'impianto perde da più punti del continente. L'architettura regolatoria dell'Europa non ha ancora raggiunto la scala della minaccia.