Litva prišla o 600 000 majetkových záznamov

Každý záznam o vlastníctve nehnuteľnosti, zápis firmy či hypotekárny údaj v Európe leží v štátnej databáze. Tieto registre sú právnou oporou vlastníctva. V roku 2026 zažilo najmenej päť členských štátov EÚ vážne útoky práve na tieto systémy a unikli pri nich milióny záznamov. Digitálna infraštruktúra, na ktorej stojí veľká časť európskej ekonomiky, je chránená slabšie, než občania predpokladajú.

Kľúč z upratovacej firmy

Litovská generálna prokuratúra 22. mája potvrdila, že útočníci nelegálne skopírovali viac než 600 000 záznamov z národných registrov nehnuteľností a firiem. Medzi ukradnutými údajmi boli informácie o vlastníctve realít aj dokumenty právnických osôb. Šéf litovského Registračného centra v ten istý deň odstúpil.

Znepokojujúci je najmä spôsob prieniku. Litovskí vyšetrovatelia zistili, že neoprávnené prihlásenia prichádzali zo zahraničia a išli cez systémy iných štátnych inštitúcií. Útočníci teda neútočili priamo na hlavný vstup do registra. Najprv ovládli dôveryhodný susedný systém a jeho prihlasovacie údaje použili ako vstupenku dovnútra. Je to podobné, ako keby sa do budovy nedostali vypáčením zámky, ale kľúčom ukradnutým upratovacej firme.

Takéto údaje majú priamu kriminálnu hodnotu. Záznamy o majetku spojené s menami vlastníkov sa dajú použiť pri krádeži identity, podvodných žiadostiach o hypotéku alebo pri zakladaní schránkových firiem určených na pranie peňazí.

Päť krajín, rovnaká slabina

Litva je najnovší prípad, no podobný vzorec vidno naprieč Európou.

Na Malte si bezpečnostná výskumníčka pôsobiaca v Berlíne stiahla 1,3 milióna firemných dokumentov z obchodného registra cez zle nastavené API, teda digitálne rozhranie, cez ktoré softvér získava údaje z databázy. Nebol potrebný žiadny hackerský prienik. API si jednoducho účtovalo 0,01 € za dokument a nemalo nastavené limity prístupu.

V Bulharsku minister spravodlivosti žiadal odvolanie riaditeľa Registračnej agentúry po tom, čo kontrola zistila, že 60 % pracovných miest je neobsadených a úrad nemá ani bezpečnostného pracovníka pre informačné systémy.

V Taliansku prokuratúra v Neapole rozložila sieť, v ktorej dvaja policajti za dva roky urobili približne 730 000 neoprávnených dopytov do štátnych databáz a osobné údaje predávali za pevné ceny: 25 € za vyhľadanie v databáze ministerstva vnútra, 6 až 11 € za daňové záznamy. Systém každý prístup zaznamenal, no nikdy nevyhodnotil tento vzorec ako podozrivý. Vyšetrovali 85 ľudí. Aj Francúzsko čelilo sérii únikov zo systémov verejnej správy vrátane incidentov, ktoré sa podľa skorších zistení To Brief dotkli viac než 1,2 milióna bankových účtov.

Všetkých päť prípadov spája zlyhanie monitorovania prístupu. Registre síce vedeli, kto sa prihlásil, no nevšimli si, keď sa správanie používateľov zmenilo na abnormálne.

Medzera medzi zákonom a zámkami

Smernica EÚ NIS2, účinná od októbra 2024, zaraďuje verejnú správu medzi sektory, ktoré musia spĺňať najvyššie kyberbezpečnostné štandardy. Národné registre patria medzi „základné subjekty“, čo znamená povinné hodnotenie rizík a hlásenie incidentov do 24 hodín.

Zavádzanie pravidiel však za textom smernice výrazne zaostáva. V Nemecku, ktoré smernicu prevzalo do národného práva až v decembri 2025, sa do marcového termínu v roku 2026 u federálneho kyberbezpečnostného úradu zaregistrovalo približne 38 % dotknutých organizácií, podľa skorších zistení To Brief. Nie je jasné ani to, či všetky nemecké spolkové krajiny zaregistrovali svoje registre nehnuteľností.

Litva mala NIS2 prevedenú do národného práva už v čase útoku na registre. Smernica vyžaduje kontrolu prístupu, no výslovne neprikazuje automatické odhaľovanie anomálií. V praxi by systém mal spustiť alarm, ak používateľ, ktorý bežne robí desať dopytov denne, zrazu urobí desaťtisíc. Ani jeden z týchto registrov takúto schopnosť nemal.

Čiastočný protiargument ponúka estónska architektúra X-Road. Každý dopyt medzi štátnymi systémami tam dostáva digitálny podpis odolný proti dodatočnej manipulácii, takže vzniká podrobný záznam o tom, kto, kedy a k čomu pristupoval. Hromadné sťahovanie údajov sa tak skrýva oveľa ťažšie. Ani X-Road však nedokáže úplne zabrániť zneužitiu zo strany človeka, ktorý má legitímne prihlasovacie údaje.

Tieto registre evidujú, kto vlastní dom, kto riadi firmu a kto má hypotéku. Nepôsobia tak dramaticky ako ransomvérový útok na nemocnicu. Sú však právnym potrubím európskych ekonomík a toto potrubie naprieč kontinentom presakuje. Európska regulačná architektúra zatiaľ nedobehla rozsah hrozby.