600,000 ägaruppgifter stjäls i Litauen

Alla lagfarter, bolagsregistreringar och inteckningar i Europa ligger i offentliga databaser. Registren är den juridiska grunden för ägande. Under 2026 har minst fem EU-länder drabbats av större intrång eller läckor i just sådana system, med miljontals exponerade poster som följd. Europas mest grundläggande digitala infrastruktur är sämre skyddad än många medborgare rimligen föreställer sig.

Stulen nyckel från städbolaget

Den 22 maj bekräftade Litauens riksåklagare att angripare hade kopierat mer än 600 000 poster ur landets fastighets- och bolagsregister. Materialet omfattade uppgifter om fastighetsägande och handlingar om juridiska personer. Chefen för den litauiska registermyndigheten avgick samma dag.

Det mest oroande är hur angriparna tog sig in. Litauiska utredare har funnit att obehöriga inloggningar kom från utlandet men gick via system som drivs av andra statliga institutioner. Angriparna slog alltså inte mot registrets ytterdörr, utan tog över ett närliggande och betrott system och använde dess behörigheter. Det motsvarar att ta sig in i en byggnad genom att stjäla nyckeln från städbolaget.

Uppgifterna har ett direkt värde för kriminella. Fastighetsregister med ägarnamn kan användas för identitetsbedrägerier, falska bolåneansökningar eller skalbolag som sätts upp för penningtvätt.

Fem länder, samma svaghet

Litauen är det senaste fallet, men mönstret är europeiskt.

I Malta kunde en säkerhetsforskare baserad i Berlin ladda ned 1,3 miljoner bolagshandlingar från bolagsregistret via ett felkonfigurerat API, alltså det digitala gränssnitt som låter program hämta uppgifter ur en databas. Det krävdes inget intrång. API:et tog helt enkelt 0,01 euro per dokument och saknade åtkomstbegränsningar.

I Bulgarien krävde justitieministern att chefen för registermyndigheten skulle avskedas efter att en inspektion visat att 60 % av tjänsterna stod vakanta och att myndigheten saknade informationssäkerhetsansvarig.

I Italien slog åklagare i Neapel sönder ett nätverk där två poliser hade gjort omkring 730 000 obehöriga sökningar i statliga databaser under två år och sålt personuppgifter till fasta priser: 25 euro för en sökning i inrikesministeriets register och 6-11 euro för skatteuppgifter. Systemet loggade varje åtkomst men reagerade aldrig på mönstret. Åttiofem personer utreddes. Även Frankrike har haft en våg av intrång mot offentlig förvaltning, däribland incidenter som enligt To Briefs tidigare rapportering berörde över 1,2 miljoner bankkonton.

De fem fallen har samma svaga punkt: åtkomsten registrerades, men systemen upptäckte inte när användningen blev onormal.

Glappet mellan lag och lås

EU:s NIS2-direktiv, som gäller sedan oktober 2024, placerar offentlig förvaltning bland de sektorer som ska hålla högst cybersäkerhetsnivå. Nationella register räknas som ”väsentliga enheter” och omfattas av krav på riskbedömningar och incidentrapportering inom 24 timmar.

Genomförandet ligger långt efter lagtexten. I Tyskland, som införde direktivet i nationell rätt först i december 2025, hade omkring 38 % av berörda organisationer registrerat sig hos den federala cybersäkerhetsmyndigheten vid tidsfristen i mars 2026, enligt To Briefs tidigare rapportering. Det är fortfarande oklart om alla tyska delstater ens har registrerat sina fastighetsregister.

Litauen hade redan genomfört NIS2 när registren utsattes. Direktivet kräver åtkomstkontroller men säger inte uttryckligen att systemen måste ha automatisk avvikelseövervakning. I praktiken handlar det om att ett system bör slå larm om en användare som normalt gör tio sökningar per dag plötsligt gör tio tusen. Inget av dessa register hade den förmågan.

Estlands X-Road-arkitektur visar en möjlig del av lösningen. Varje fråga mellan myndighetssystem får en manipulationssäker digital signatur, vilket skapar detaljerade spår av vem som har hämtat vad och när. Massuttag av data blir därmed svårare att dölja. Inte heller X-Road kan dock helt hindra missbruk från en person som har legitima behörigheter.

Registren visar vem som äger ett hus, vem som företräder ett bolag och vem som har en inteckning. De väcker inte samma uppmärksamhet som ett ransomwareangrepp mot ett sjukhus. Men de är en del av den juridiska infrastrukturen i Europas ekonomier, och läckorna visar att skyddet inte motsvarar värdet på uppgifterna. Europas regelverk har ännu inte hunnit i kapp hotbilden.