Litouwen raakt 600,000 vastgoeddossiers kwijt

Elke eigendomsakte, bedrijfsinschrijving en hypotheekregistratie in Europa staat in een overheidsdatabase. Die registers vormen de juridische ruggengraat van bezit: ze bepalen wie eigenaar is, wie bevoegd is namens een bedrijf en welk pand met schuld is belast. In 2026 kregen zeker vijf EU-lidstaten te maken met grote inbraken of lekken in precies zulke systemen, samen goed voor miljoenen blootgelegde dossiers. De digitale basisinfrastructuur van Europa is minder goed beschermd dan burgers mogen verwachten.

De sleutel van het schoonmaakbedrijf

Op 22 mei bevestigde de Litouwse procureur-generaal dat aanvallers illegaal meer dan 600.000 dossiers hadden gekopieerd uit de vastgoed- en ondernemingsregisters van het land. Het ging onder meer om gegevens over vastgoedeigendom en registraties van rechtspersonen. Diezelfde dag stapte het hoofd van het Registers Centre op.

Vooral de toegangspoort maakt de zaak zorgelijk. Volgens Litouwse onderzoekers kwamen ongeoorloofde logins uit het buitenland, via systemen van andere staatsinstellingen. De aanvallers forceerden dus niet de voordeur van het register, maar namen een vertrouwd naburig systeem over en liepen met diens inlogrechten naar binnen. Het digitale equivalent van niet het slot openbreken, maar de sleutel van het schoonmaakbedrijf stelen.

De buit heeft directe criminele waarde. Vastgoedgegevens in combinatie met namen van eigenaren kunnen worden gebruikt voor identiteitsfraude, valse hypotheekaanvragen of schijnvennootschappen voor witwassen. Juist omdat registers juridische zekerheid moeten bieden, zijn hun gegevens voor criminelen meer waard dan een willekeurige lijst e-mailadressen.

Vijf landen, dezelfde zwakke plek

Litouwen is het recentste geval, maar het patroon loopt door heel Europa.

In Malta kon een in Berlijn gevestigde beveiligingsonderzoeker 1,3 miljoen bedrijfsdocumenten downloaden uit het Business Registry via een verkeerd ingestelde API, de digitale koppeling waarmee software een database bevraagt. Hacken was niet nodig. De API rekende simpelweg € 0,01 per document en kende geen effectieve toegangsgrenzen.

In Bulgarije eiste de minister van Justitie het ontslag van de directeur van de Registry Agency, nadat een inspectie had vastgesteld dat 60% van de functies vacant was en er geen informatiebeveiligingsfunctionaris in dienst was.

In Italië ontmantelden aanklagers in Napels een netwerk waarin twee politieagenten in twee jaar tijd ongeveer 730.000 ongeoorloofde zoekopdrachten deden in staatsdatabases. Zij verkochten persoonsgegevens tegen vaste tarieven: € 25 voor een zoekopdracht in systemen van het ministerie van Binnenlandse Zaken, € 6 tot € 11 voor fiscale gegevens. Het systeem registreerde elke toegang, maar sloeg nooit alarm over het patroon. In totaal werden 85 mensen onderzocht. Ook Frankrijk kreeg te maken met een reeks inbraken in systemen van de publieke administratie, waaronder incidenten met gegevens van meer dan 1,2 miljoen bankrekeningen, volgens eerdere berichtgeving van To Brief.

In alle vijf gevallen faalde de toegangscontrole niet alleen bij de voordeur, maar vooral daarna. De registers legden wel vast wie inlogde, maar merkten niet op wanneer normaal gebruik omsloeg in massale data-extractie.

Het gat tussen wet en slot

De Europese NIS2-richtlijn, van kracht sinds oktober 2024, rekent openbaar bestuur tot de sectoren waarvoor de hoogste cyberveiligheidsnormen gelden. Nationale registers vallen onder de categorie "essentiële entiteiten". Zij moeten risicoanalyses uitvoeren en incidenten binnen 24 uur melden.

De uitvoering loopt ver achter op de tekst. In Duitsland, dat de richtlijn pas in december 2025 omzette in nationaal recht, had volgens eerdere berichtgeving van To Brief ongeveer 38% van de betrokken organisaties zich tegen de deadline van maart 2026 geregistreerd bij de federale cyberveiligheidsautoriteit. Of alle Duitse deelstaten hun vastgoedregisters überhaupt hebben aangemeld, is nog onduidelijk.

Litouwen had NIS2 al omgezet toen de registers werden getroffen. De richtlijn schrijft toegangscontroles voor, maar eist niet expliciet automatische detectie van afwijkend gedrag. In praktische termen: als iemand die normaal tien zoekopdrachten per dag doet ineens tienduizend dossiers opvraagt, moet het systeem alarm slaan. Geen van deze registers had die capaciteit op orde.

Estlands X-Road-architectuur laat zien dat het wel beter kan, al is het geen volledige oplossing. Elke gegevensvraag tussen overheidssystemen krijgt daar een fraudebestendige digitale handtekening, waardoor precies wordt vastgelegd wie wat wanneer heeft geraadpleegd. Massale data-extractie valt daardoor veel moeilijker te verbergen. Toch kan ook X-Road misbruik door een insider met geldige toegangsrechten niet volledig voorkomen.

Deze registers leggen vast wie een huis bezit, wie een onderneming bestuurt en wie een hypotheek heeft. Ze missen de zichtbare urgentie van een ransomwareaanval op een ziekenhuis. Maar ze zijn wel het juridische leidingwerk van Europese economieën, en dat leidingwerk lekt inmiddels op meerdere plekken tegelijk. De Europese regels zijn aangescherpt; de technische werkelijkheid loopt daar nog achteraan.