Litwa straciła 600,000 wpisów własnościowych

Akty własności, wpisy o spółkach i dane hipoteczne nie są zwykłą administracyjną ewidencją. To infrastruktura, na której opiera się obrót majątkiem: kto jest właścicielem nieruchomości, kto reprezentuje firmę, kto zabezpieczył kredyt hipoteką. W 2026 r. co najmniej pięć państw UE miało poważne incydenty właśnie w takich systemach. Najbardziej podstawowa cyfrowa infrastruktura Europy okazuje się słabiej chroniona, niż zakładają obywatele.

Klucz zabrany firmie sprzątającej

22 maja litewska Prokuratura Generalna potwierdziła, że napastnicy nielegalnie skopiowali ponad 600 000 wpisów z krajowych rejestrów nieruchomości i przedsiębiorstw. Wśród danych były informacje o własności nieruchomości oraz dokumenty dotyczące osób prawnych. Tego samego dnia do dymisji podał się szef litewskiego Centrum Rejestrów.

Najbardziej niepokojący jest sposób wejścia do systemu. Litewscy śledczy ustalili, że nieuprawnione logowania przychodziły z zagranicy, ale były prowadzone przez systemy innych instytucji państwowych. Atakujący nie forsowali głównych drzwi rejestru. Przejęli zaufany system obok i weszli na jego uprawnieniach. W praktyce przypomina to włamanie do budynku nie przez wyłamanie zamka, lecz przez kradzież klucza firmie sprzątającej.

Takie dane mają bezpośrednią wartość przestępczą. Połączenie wpisów o nieruchomościach z nazwiskami właścicieli może służyć do kradzieży tożsamości, wyłudzania kredytów hipotecznych albo tworzenia spółek wydmuszek wykorzystywanych do prania pieniędzy.

Pięć państw, ta sama słabość

Litwa jest najnowszym przypadkiem, ale wzorzec widać w całej Europie.

Na Malcie berlińska badaczka bezpieczeństwa pobrała 1,3 mln dokumentów spółek z rejestru przedsiębiorstw przez źle skonfigurowane API, czyli cyfrowy interfejs pozwalający oprogramowaniu odpytywać bazę danych. Nie było potrzebne włamanie. System pobierał po prostu 0,01 EUR za dokument i nie miał limitów dostępu.

W Bułgarii minister sprawiedliwości zażądał odwołania dyrektora Agencji Rejestrowej, gdy kontrola wykazała, że 60% stanowisk pozostawało nieobsadzonych, a w instytucji nie było inspektora odpowiedzialnego za bezpieczeństwo informacji.

We Włoszech prokuratorzy z Neapolu rozbili sieć, w której dwóch policjantów przez dwa lata wykonało około 730 000 nieuprawnionych zapytań do państwowych baz danych, sprzedając dane osobowe według stawek: 25 EUR za sprawdzenie w bazie MSW oraz 6-11 EUR za dane podatkowe. System rejestrował każde wejście, ale nie wychwycił wzorca. Śledztwem objęto 85 osób. We Francji również doszło do serii naruszeń w systemach administracji publicznej, w tym incydentów dotyczących ponad 1,2 mln rachunków bankowych, według wcześniejszych ustaleń To Brief.

Wszystkie pięć przypadków łączy ten sam deficyt: brak realnego monitorowania dostępu. Rejestry zapisywały, kto się logował, ale nie zauważały, kiedy zachowanie użytkowników przestawało być normalne.

Prawo jest, zamków brakuje

Unijna dyrektywa NIS2, obowiązująca od października 2024 r., zalicza administrację publiczną do sektorów wymagających najwyższych standardów cyberbezpieczeństwa. Krajowe rejestry mieszczą się w kategorii „podmiotów kluczowych”, co oznacza obowiązkowe oceny ryzyka i zgłaszanie incydentów w ciągu 24 godzin.

Wdrożenie przepisów wyraźnie odstaje od ich ambicji. W Niemczech, które przeniosły dyrektywę do prawa krajowego dopiero w grudniu 2025 r., do marcowego terminu w 2026 r. zarejestrowało się w federalnym urzędzie cyberbezpieczeństwa około 38% objętych organizacji, według wcześniejszych ustaleń To Brief. Nie wiadomo nawet, czy wszystkie niemieckie landy zgłosiły swoje rejestry nieruchomości.

Litwa wdrożyła NIS2 przed naruszeniem swoich rejestrów. Dyrektywa wymaga kontroli dostępu, ale nie nakazuje wprost automatycznego wykrywania anomalii. W praktyce oznacza to lukę: jeśli ktoś zwykle wykonuje dziesięć zapytań dziennie, a nagle robi ich dziesięć tysięcy, system powinien uruchomić alarm. W tych przypadkach takiej zdolności zabrakło.

Częściową odpowiedź daje estońska architektura X-Road. Każde zapytanie między systemami państwowymi otrzymuje odporny na manipulację podpis cyfrowy, dzięki czemu powstaje szczegółowy zapis tego, kto, kiedy i do czego uzyskał dostęp. Masowe pobieranie danych znacznie trudniej wtedy ukryć. Nawet X-Road nie eliminuje jednak ryzyka nadużyć ze strony osoby, która ma legalne poświadczenia.

Rejestry pokazują, kto posiada dom, kto zarządza spółką i kto ma wpisaną hipotekę. Nie mają medialnej siły ataku ransomware na szpital, ale są instalacją prawną europejskich gospodarek. Ta instalacja przecieka w wielu miejscach naraz, a unijna architektura regulacyjna wciąż nie nadąża za skalą zagrożenia.