5 Lästid 
Ett främmande land fick tillgång till mer än 600 000 poster ur Litauens statliga fastigheter- och företagsregister – inte genom ett traditionellt intrång, utan via inloggningsuppgifter som utfärdats till institutioner med legitim åtkomst. Litauens riksåklagarämbete offentligjorde incidenten i fredags, drygt sex veckor efter att Registercentret i Litauen först upptäckte den i början av april.
Registercentret, den statliga myndighet som driver Litauens fastighetsregister och register över juridiska personer, förvaltar officiella uppgifter som normalt säljs mot betalning. Åklagarna uppgav att de stulna uppgifterna främst kom från dessa två register och att åtkomsten sannolikt hade sitt ursprung utomlands. De namngav inte landet.
Inloggningarna skulle finnas där
Det är också den avgörande detaljen. Angriparen utnyttjade varken en opatchad server eller någon zero-day sårbarehet. Enligt åklagarna byggde intrånget på missbruk av inloggningsuppgifter som tilldelats institutioner med laglig, behörig åtkomst till registerdatabaserna. Den som låg bakom operationen hade antingen dessa uppgifter eller komprometterade en organisation som hade dem.
Laurynas Kasčiūnas, den konservativa oppositionsledaren och tidigare försvarsminister, skrev på Facebook att komprometterade konton kopplade till Litauens migrationsavdelning kan ha använts för att nå registret. Litauiska åklagare har inte bekräftat vilka institutioners konton som var inblandade.
Vad som faktiskt stals
Registercentret beskrev ofattningen i ett utalande i tisdags. De exponerade uppgifterna omfattar namn, födelsedatum och nationella identifikationsnummer, tillsammans med fastighetsdata som adresser, fastighetsbeteckningar och registernummer. Myndigheten uppgav att inga kontaktuppgifter, bankkonto- eller betalningsuppgifter, domstolsavgöranden eller mätningshandlingar togs.
Den direkta ekonomiska skadan uppskattades inledningsvis till mer än 111 000 euro. Se det som ett golv, inte ett mått på skadan. Siffran speglar det kommersiella värdet av de betalda registerutdragen, inte säkerhetskostnaden av att 600 000 litauers hemadresser och identifikationsnummer nu ligger i ett fientligt dataset.
Rysslandsspåret kommer från en politiker
Många nyhetsrapporter fokuserade tidigt på Ryssland. Den kopplingen kom inte från den officiella utredningen. Den kom från Kasčiūnas, som i söndags skrev på Facebook att intrånget bar ”the hallmarks of a Russian intelligence operation”. Han lade inte fram några bevis. Riksåklagarämbetet har varken bekräftat eller förnekat rysk inblandning, och ingen grupp har tagit på sig angreppet.
Skillnaden är viktig. När åklagareen säger att åtkomsten sannolikt kom från ett icke namngivet främmande land är det ett försiktigt, bevisbaserat uttalande. När en oppositionspolitiker pekar ut Moskva på sociala medier tre dagar senare är det ett politiskt. Båda kan rapporteras. De är inte samma påstående, och att blanda ihop dem är så ett fall av missbrukade inloggningsuppgifter blir en spionthriller innan den tekniska utredningen ens är klar.
Samtidigt är Kasčiūnas underliggande varning relevant ovasett vem som låg bakom intrånget. Ett register som innehåller hemadresser kopplade till underrättelseofficerare, militär personal, diplomater och politiker är en användbar tillgång för vilken fientlig tjänst som helst, och kan mata övervakning, phishing, utpressning eller planering av sabotage. Litauen gränsar till den ryska exklaven Kaliningrad och till Rysslands allierade Belarus, och har i åratal kartlagt hybridoperationer riktade mot landet.
En avgång, och ett erkännande om statlig IT-skuld
Adrijus Jusas, som ledde Registercentret, avgick i måndags. I kommentarer till litauiska medier sade han att han valt att lämna sin påst med hänvisning till situationens känslighet och behovet av nytt ledarskap.
Hans avskedsintervju sa mer än hans avgång. Jusas skyllde på flera års underinvesteringar i statlig IT och uppskattade kostnaden för att lyfta registrets system till moderna säkerhetskrav till upp till 60 miljoner euro. Det är raden andra registeroperatörer bör läsa två gånger. Intrånget upptäcktes och avslöjades inte samma dag: det hittades i början av april och hölls tillbaka under utredningen. Ett system som inte har råd med övervakning är ett system som får veta sent.
Behörig åtkomst är den verkliga svagheten
Mekaniken i det här intrånget är inte ovanlig och just därför är den oroande. Alla register som säljer eller delar åtkomst i stor skala till externa institutioner bär på samma risk: perimetern kan vara intakt samtidigt som hotet finns i de inloggningsuppgifter som delas med tredje part och i bristen övervakning är också ett system som upptäcker angrepp sent.
Sverige driver samma modell. Bolagsverket håller företagsregistret och Lantmäteriet håller fastighets- och inskrivningsregistret, båda med betald, behörig åtkomst i stora volymer för banker, försäkringsbolag, advokatbyråer och dataåterförsäljare. Inget av dem har rapporterat något intrång. Frågan deras åtkomstkontroller måste kunna besvara är den som Litauens inte kunde: skulle ni märka om ett behörigt konto plötsligt drog 600 000 poster?
För varje organisation som driver eller använder behörig registråtkomst är tre saker värda att granska den här veckan. Om massuttag från ett behörigt konto utlöser ett larm. Om inloggningsuppgifter som utfärdats till partnerinstitutioner roteras och bevakas, inte sätts en gång och glöms bort. Och om er egen detektering hade fångat det här i april i stället för i slutet av maj. Litauens svar på den sista frågan var nej, och det kostade myndighetschefen jobbet.
Källor
- Lithuania investigates theft of 600,000 state registry records by foreign actor
- A country of 2.9 million people on Russia’s border just had 600,000 national records stolen
- Lithuania Suspects Foreign Involvement in Data Leak of Over 600,000 National Register Entries
- Lithuania Centre of Registers chief resigns after major data leak
This post is also available in:
English
Related News
Kritisk sårbarhet i cPanel utnyttjades i månader före patch
En kritisk sårbarhet för autentiseringsförbikoppling i cPanel har utnyttjats aktivt sedan februari, två månader innan leverantören släppte en patch. CVE-2026-41940 har CVSS-poäng 9,8 och låter…
maj 5, 2026 CISA listar nio år gammal Linux-bugg efter aktiva angrepp
CISA lade på fredagen till CVE-2026-31431 i sin katalog över Known Exploited Vulnerabilities, vilket bekräftar att en nio år gammal sårbarhet i Linux-kärnan utnyttjas i…
maj 4, 2026