Litva izgubila 600,000 nepremičninskih zapisov

Vsak vpis lastništva nepremičnine, registracija podjetja in hipoteka v Evropi stoji na državnem registru. Ti sistemi so pravna infrastruktura lastnine. Leta 2026 je vsaj pet držav članic EU doživelo resne vdore prav v takšne baze podatkov, pri čemer so napadalci prišli do milijonov zapisov. Ena najbolj temeljnih digitalnih infrastruktur v Evropi je varovana precej slabše, kot državljani praviloma domnevajo.

Kraja ključa čistilnega servisa

Litovsko generalno državno tožilstvo je 22. maja potrdilo, da so napadalci iz državnih nepremičninskih in poslovnih registrov nezakonito skopirali več kot 600.000 zapisov. Med ukradenimi podatki so bili podatki o lastništvu nepremičnin in dokumenti pravnih oseb. Direktor litovskega registrskega centra je še isti dan odstopil.

Najbolj zaskrbljujoč je način vstopa. Litovski preiskovalci so ugotovili, da so nepooblaščene prijave prihajale iz tujine, vendar prek sistemov drugih državnih institucij. Napadalci niso napadli glavnega vhoda registra, temveč so najprej kompromitirali zaupanja vreden sosednji sistem in nato uporabili njegova pooblastila. Kot da v stavbo ne bi vlomili skozi ključavnico, temveč bi ključ ukradli čistilnemu servisu.

Ukradeni podatki imajo neposredno kriminalno vrednost. Podatki o nepremičninah v povezavi z imeni lastnikov omogočajo krajo identitete, lažne hipotekarne vloge ali ustanavljanje slamnatih podjetij za pranje denarja.

Pet držav, ista šibka točka

Litva je najnovejši primer, vzorec pa je širši.

Na Malti je varnostna raziskovalka iz Berlina iz poslovnega registra prek napačno nastavljenega API-ja, digitalnega vmesnika, ki programom omogoča poizvedbe po bazi, prenesla 1,3 milijona poslovnih dokumentov. Vdor sploh ni bil potreben. API je za vsak dokument zaračunal 0,01 €, omejitev dostopa pa ni bilo.

V Bolgariji je pravosodni minister zahteval razrešitev direktorja agencije za vpise, potem ko je nadzor pokazal, da je 60 odstotkov delovnih mest nezasedenih, agencija pa nima zaposlenega pooblaščenca za informacijsko varnost.

V Italiji so neapeljski tožilci razbili mrežo, v kateri sta dva policista v dveh letih opravila približno 730.000 nepooblaščenih poizvedb po državnih bazah podatkov in osebne podatke prodajala po fiksnih cenah: 25 € za vpogled v evidence notranjega ministrstva, od 6 do 11 € za davčne podatke. Sistem je beležil vsak dostop, vendar vzorca ni zaznal. Preiskovali so 85 ljudi. Tudi Francija se je soočila z valom vdorov v sisteme javne uprave, med drugim z incidenti, ki so po prejšnjem poročanju To Briefa prizadeli več kot 1,2 milijona bančnih računov.

Vseh pet primerov povezuje ista odpoved nadzora nad dostopom. Registri so vedeli, kdo se je prijavil, niso pa zaznali, kdaj je vedenje uporabnika postalo nenavadno.

Razkorak med zakonom in ključavnico

Direktiva EU NIS 2, ki velja od oktobra 2024, javno upravo uvršča med sektorje, za katere veljajo najvišji standardi kibernetske varnosti. Nacionalni registri spadajo med »bistvene subjekte«, kar pomeni obvezne ocene tveganj in prijavo incidentov v 24 urah.

Izvajanje zaostaja za besedilom predpisa. V Nemčiji, ki je direktivo prenesla v nacionalno pravo šele decembra 2025, se je do roka marca 2026 pri zveznem organu za kibernetsko varnost registriralo približno 38 odstotkov zavezanih organizacij, po prejšnjem poročanju To Briefa. Še vedno ni jasno, ali so vse nemške zvezne dežele sploh registrirale svoje nepremičninske registre.

Litva je direktivo NIS 2 prenesla že pred vdorom v registre. Direktiva zahteva nadzor dostopa, ne zahteva pa izrecno samodejnega zaznavanja anomalij. V praksi bi moral sistem sprožiti alarm, če uporabnik, ki običajno opravi deset poizvedb na dan, nenadoma opravi deset tisoč poizvedb. Ti registri te zmožnosti niso imeli.

Estonska arhitektura X-Road ponuja delni nasprotni primer. Vsaka poizvedba med državnimi sistemi dobi digitalni podpis, odporen proti spreminjanju, zato nastane natančna sled o tem, kdo je dostopal do katerih podatkov in kdaj. Množično črpanje podatkov je zato veliko težje prikriti. Toda niti X-Road ne more v celoti preprečiti zlorabe, če ima notranji uporabnik veljavna pooblastila.

Ti registri kažejo, kdo ima hišo, kdo vodi podjetje in kdo ima hipoteko. Nimajo dramatičnosti izsiljevalskega napada na bolnišnico. So pa pravna napeljava evropskih gospodarstev, ta napeljava pa pušča po vsej celini. Evropski regulativni okvir se še ni prilagodil obsegu tveganja.