Lituania pierde 600,000 de dosare imobiliare

Fiecare act de proprietate, înregistrare de companie și ipotecă din Europa stă într-o bază de date publică. Aceste registre sunt infrastructura juridică a proprietății. În 2026, cel puțin cinci state membre ale UE au avut breșe majore exact în astfel de sisteme, cu milioane de înregistrări expuse. Infrastructura digitală pe care se sprijină dreptul de proprietate în Europa este mai puțin protejată decât presupun cetățenii.

Cheia furată de la firma de curățenie

Pe 22 mai, Procurorul General al Lituaniei a confirmat că atacatorii au copiat ilegal peste 600.000 de înregistrări din registrele de proprietate și de companii ale țării. Datele furate includeau informații despre proprietari imobiliari și documente depuse de persoane juridice. Șeful Centrului Registrelor a demisionat în aceeași zi.

Punctul de intrare explică gravitatea cazului. Anchetatorii lituanieni au constatat că autentificările neautorizate au venit din străinătate, prin sisteme administrate de alte instituții ale statului. Atacatorii nu au forțat direct registrul, ci au compromis un sistem vecin, considerat de încredere, și i-au folosit credențialele pentru a intra. E ca și cum nu spargi ușa unei clădiri, ci furi cheia de la firma de curățenie.

Datele furate au valoare infracțională imediată. Înregistrările de proprietate, puse lângă numele proprietarilor, pot alimenta fraude de identitate, cereri false de credit ipotecar sau companii-paravan create pentru spălarea banilor.

Cinci țări, aceeași slăbiciune

Lituania este cel mai recent caz, dar tiparul apare în mai multe state europene.

În Malta, o cercetătoare în securitate informatică din Berlin a descărcat 1,3 milioane de documente corporative din Registrul Comerțului printr-un API configurat greșit, adică interfața digitală prin care un program poate interoga o bază de date. Nu a fost nevoie de hacking. API-ul percepea pur și simplu 0,01 € pentru fiecare document și nu avea limite de acces.

În Bulgaria, ministrul Justiției a cerut demiterea directorului Agenției de Înregistrări, după ce o inspecție a găsit 60 % din posturi vacante și niciun responsabil pentru securitatea informațiilor.

În Italia, procurorii din Napoli au destructurat o rețea în care doi polițiști au făcut aproximativ 730.000 de interogări neautorizate în baze de date ale statului, timp de doi ani, vânzând date personale la tarife fixe: 25 € pentru o verificare în sistemul Ministerului de Interne, 6-11 € pentru date fiscale. Sistemul înregistra fiecare acces, dar nu a semnalat tiparul. Optzeci și cinci de persoane au fost anchetate. Și Franța s-a confruntat cu un val de breșe care au lovit sisteme ale administrației publice, inclusiv incidente care au afectat peste 1,2 milioane de conturi bancare, conform relatărilor anterioare ale To Brief.

Toate cele cinci cazuri au aceeași problemă: monitorizarea accesului. Registrele notau cine intră, dar nu observau când comportamentul devenea anormal.

Distanța dintre lege și protecția reală

Directiva europeană NIS2, în vigoare din octombrie 2024, include administrația publică printre sectoarele care trebuie să respecte cele mai ridicate standarde de securitate cibernetică. Registrele naționale intră la categoria „entităților esențiale”, ceea ce înseamnă evaluări obligatorii de risc și raportarea incidentelor în termen de 24 de ore.

Aplicarea rămâne mult în urma textului legal. În Germania, care a transpus directiva abia în decembrie 2025, aproximativ 38 % dintre organizațiile vizate se înregistraseră la autoritatea federală de securitate cibernetică până la termenul din martie 2026, conform relatărilor anterioare ale To Brief. Nu este clar nici dacă toate landurile germane și-au înregistrat registrele de proprietate.

Lituania transpusese deja NIS2 când registrele sale au fost compromise. Directiva cere controale de acces, dar nu impune explicit detectarea automată a anomaliilor. În termeni practici, dacă un utilizator care face în mod normal zece interogări pe zi ajunge brusc la zece mii, sistemul ar trebui să declanșeze o alertă. Niciunul dintre aceste registre nu avea această capacitate.

Arhitectura estoniană X-Road oferă un contraexemplu parțial. Fiecare interogare între sisteme guvernamentale primește o semnătură digitală care nu poate fi modificată ulterior, creând o evidență detaliată a accesului: cine a intrat, ce a consultat și când. Extragerea masivă de date devine mult mai greu de ascuns. Chiar și X-Road nu poate preveni complet abuzul unui utilizator intern care are credențiale legitime.

Aceste registre arată cine deține o locuință, cine conduce o companie, cine are o ipotecă. Nu au dramatismul unui atac ransomware asupra unui spital. Dar sunt instalația juridică prin care funcționează economiile europene, iar aceasta pierde date în mai multe puncte ale continentului. Arhitectura de reglementare a Europei nu a ajuns încă la scara amenințării.