Lituânia perde 600,000 registos prediais

Cada escritura predial, registo comercial e hipoteca na Europa assenta numa base de dados pública. Estes registos são a infraestrutura jurídica da propriedade: dizem quem possui o quê, quem responde por uma empresa e que garantias pesam sobre um imóvel. Em 2026, pelo menos cinco Estados-Membros da UE sofreram falhas graves precisamente nestes sistemas, expondo milhões de documentos. A camada digital mais elementar das economias europeias está menos protegida do que muitos cidadãos imaginam.

Roubar a chave à empresa de limpeza

A 22 de maio, a Procuradoria-Geral da Lituânia confirmou que atacantes tinham copiado ilegalmente mais de 600 000 registos dos registos predial e comercial do país. Os dados incluíam informação sobre propriedade imobiliária e documentos de pessoas coletivas. O presidente do Centro de Registos demitiu-se nesse mesmo dia.

O ponto de entrada explica a gravidade do caso. Os investigadores lituanos concluíram que os acessos não autorizados partiram do estrangeiro e passaram por sistemas de outras instituições públicas. Em vez de atacarem diretamente o registo, os intrusos comprometeram um sistema vizinho considerado fiável e usaram as suas credenciais para entrar. É o equivalente digital a entrar num edifício não arrombando a porta, mas roubando a chave à empresa de limpeza.

Estes dados têm valor criminal imediato. Registos de propriedade associados a nomes de proprietários podem alimentar fraude de identidade, pedidos fraudulentos de crédito hipotecário ou empresas de fachada usadas para branqueamento de capitais.

Cinco países, a mesma fragilidade

A Lituânia é o caso mais recente, mas o padrão já atravessa o continente.

Em Malta, uma investigadora de segurança sediada em Berlim descarregou 1,3 milhões de documentos empresariais do registo comercial através de uma API mal configurada, a interface digital que permite a um programa consultar uma base de dados. Não foi necessária uma intrusão sofisticada: a API cobrava simplesmente 0,01 euros por documento e não impunha limites de acesso.

Na Bulgária, o ministro da Justiça exigiu a demissão do diretor da Agência dos Registos depois de uma inspeção ter encontrado 60 por cento dos lugares por preencher e nenhum responsável pela segurança da informação.

Em Itália, os procuradores de Nápoles desmantelaram uma rede em que dois agentes da polícia fizeram cerca de 730 000 consultas não autorizadas a bases de dados públicas ao longo de dois anos, vendendo dados pessoais a preços fixos: 25 euros por consulta ao Ministério do Interior, 6 a 11 euros por registos fiscais. O sistema registava cada acesso, mas nunca assinalou o padrão. Oitenta e cinco pessoas foram investigadas. França também enfrentou uma série de violações em sistemas da administração pública, incluindo incidentes que afetaram mais de 1,2 milhões de contas bancárias, segundo informação já noticiada pelo To Brief.

Os cinco casos apontam para a mesma falha: os sistemas sabiam quem entrava, mas não percebiam quando esses acessos deixavam de fazer sentido.

A distância entre a lei e as fechaduras

A diretiva NIS2, em vigor desde outubro de 2024, coloca a administração pública entre os sectores sujeitos aos padrões mais exigentes de cibersegurança. Os registos nacionais enquadram-se como «entidades essenciais», obrigadas a avaliações de risco e à comunicação de incidentes no prazo de 24 horas.

A aplicação prática está longe do texto legal. Na Alemanha, que transpôs a diretiva apenas em dezembro de 2025, cerca de 38 por cento das organizações abrangidas tinham-se registado junto da autoridade federal de cibersegurança até ao prazo de março de 2026, segundo informação já noticiada pelo To Brief. Continua por esclarecer se todos os estados federados alemães registaram sequer os seus serviços prediais.

A Lituânia já tinha transposto a NIS2 quando os seus registos foram atacados. A diretiva exige controlos de acesso, mas não impõe de forma explícita sistemas automáticos de deteção de anomalias. Na prática, se alguém que costuma fazer dez consultas por dia passar de repente para dez mil, o sistema deve lançar um alerta. Nestes casos, essa capacidade não existia.

A arquitetura X-Road da Estónia oferece um contraponto parcial. Cada consulta entre sistemas públicos recebe uma assinatura digital inviolável, criando um registo detalhado de quem acedeu a quê e quando. Isso torna muito mais difícil esconder uma extração massiva de dados. Mesmo assim, nem o X-Road elimina totalmente o risco de abuso por alguém que tenha credenciais legítimas.

Estes registos dizem quem possui uma casa, quem dirige uma empresa, quem tem uma hipoteca. Não têm o impacto imediato de um ataque de ransomware a um hospital. Mas são a infraestrutura jurídica das economias europeias, e essa infraestrutura está a perder dados em vários pontos do continente. A arquitetura regulatória da Europa ainda não acompanhou a dimensão da ameaça.