Luottamuksen murtuma: Näin Liechtensteinin ja Ranskan kyberhyökkäykset paljastavat valtion varainhoidon tietoturva-aukot

Kesällä 2026 kaksi erillistä kyberhyökkäystä eurooppalaisiin valtionvarainhoidon rekistereihin paljasti syvästi arkaluonteisia tietoja. Toinen iski Liechtensteinin rahanpesun vastaiseen läpinäkyvyysrekisteriin, toinen Ranskan valtakunnalliseen verotietokantaan. Yhdessä ne osoittavat huolestuttavaa kehitystä: valtion rahoitusrekisterit ovat korkean arvon kohteita, joita on vaikea puolustaa sekä vakoilulta että rikolliselta kiristykseltä.

Liechtensteinin tietomurto: Läpinäkyvyystyökalu muuttui vastuuksi

Tuntemattomat hakkerit pääsivät luvatta Liechtensteinin edunsaajarekisteriin (VwbP) heinäkuun 29.–30. päivän välisenä yönä 2026 ja kopioivat tietoja noin 31 000 oikeushenkilöstä – mukaan lukien yrityksistä, säätiöistä ja trusteista . Rekisteri on suunniteltu kartoittamaan oikeushenkilöiden taustalla olevia omistus- ja määräysvaltasuhteita. Työkalu on tarkoitettu torjumaan rahanpesua ja terrorismin rahoitusta. Paljastuneet tiedot kertovat, kuka todella omistaa tai hallitsee tuhansia ruhtinaskuntaan rekisteröityjä yritysrakenteita .

Pankkitilien tietoja ei päätynyt vääriin käsiin, mutta omistajuus- ja henkilöllisyystiedot ovat äärimmäisen arkaluonteisia varainhoitoon erikoistuneessa maassa . Tekijöitä ei vielä tunneta .

Viikko ensimmäisen tietomurron jälkeen Liechtensteinin valtionhallinto otti neljä muuta taloushallinnon järjestelmää pois käytöstä – mukaan lukien alv-portaalin (eMWST-Portal), Lides-oikeusjärjestelmän, keskustilirekisterin ja Intax-verotietoportaalin. Tämä laajeneva vastaus viittaa siihen, että tietomurto saattoi olla laajempi kuin aluksi raportoitiin tai se laukaisi laajemman tietoturvasulun .

Ranskan DGFiP-tietomurto: Henkilöllisyysvarkaus valtakunnallisessa mittakaavassa

Haittatekijä sai luvattoman pääsyn Ranskan Direction Générale des Finances Publiques (DGFiP) -tietojärjestelmään identiteettivarkauden avulla – käyttäen varastettua henkilöllisyyttä päästäkseen sisäiseen VPN-yhteyteen ja veronmaksajien hakutietokantaan . Tunkeutuminen tapahtui kesäkuun lopussa 2026, mutta tietomurto vahvistettiin ja julkistettiin vasta 13. elokuuta 2026 Ranskan talousministeriön toimesta .

Hyökkääjä väittää vieneensä 678 438 verotietoriviä, jotka koskevat noin 393 000 yksityishenkilöä ja 286 000 ammatinharjoittajaa/yritystä . Paljastuneita tietoja ovat nimet, osoitteet, syntymäajat, perhetilanne, verotunnisteet, ilmoitetut tulot ja veroprosentit . Varastettua tiedostoa väitetään myytävän verkossa useilla tuhansilla euroilla .

Ranskan hallitus vahvisti "luvattoman pääsyn" sekä sen, että tietoja katseltiin ja siirrettiin. Alustavat tutkimukset vahvistivat, että pääsy katkaistiin kesäkuun lopussa, kun se havaittiin, mutta tiedot oli jo ehditty kopioida . Tämä on Ranskan toinen verotietomurto vuonna 2026 .

Mitä nämä tapaukset paljastavat valtion tietoturvan haavoittuvuudesta

Keskitetty tieto on yksittäinen heikko kohta

Molemmat maat olivat keskittäneet arkaluonteisia taloustietoja valtionhallinnon rekistereihin – Liechtensteinissa edunsaajatiedot, Ranskassa verotustiedot. Tämä tekee niistä äärimmäisen houkuttelevia kohteita: yksi tietomurto tuottaa tiedustelutietoa tai kiristyskelpoista dataa tuhansista kohteista.

Identiteettivarkaus on kasvava hyökkäysvektori

Ranskan hyökkäys onnistui ei monimutkaisen haittaohjelman vaan identiteettivarkauden avulla, jolla päästiin VPN-yhteyteen – sosiaalisen manipuloinnin menetelmä, jonka perinteiset verkon reunojen puolustukset usein ohittavat . Tämä viittaa siihen, että hyökkääjät siirtyvät kohti laillisten pääsyteiden hyväksikäyttöä teknisten esteiden murtamisen sijaan.

Havainnon ja julkistuksen välinen viive on suuri

Ranskan tunkeutuminen tapahtui kesäkuun lopussa, mutta siitä kerrottiin vasta elokuun puolivälissä – yli kuuden viikon viiveellä. Liechtensteinin hyökkäys havaittiin päivien sisällä, mutta sen laajeneva vaikutus (neljä muuta järjestelmää suljettiin viikkoa myöhemmin) viittaa siihen, että alkuperäinen torjunta ei täysin pysäyttänyt murtoa .

Läpinäkyvyysrekisterit luovat tietosuojaongelmia

Liechtensteinin rekisteri on lain mukainen läpinäkyvyystyökalu, joka on tarkoitettu torjumaan rahanpesua. Sen tarkoitus – yhdistää todelliset henkilöt yritysrakenteisiin – tarkoittaa kuitenkin, että tietovuoto paljastaa suoraan henkilöitä, joilla voi olla oikeutettuja yksityisyyden odotuksia . Sama jännite koskee Ranskan verotietokantaa, joka kokoaa kansalaisten täydelliset taloudelliset profiilit.

Pienet valtiot eivät ole välttämättä turvallisempia

Liechtenstein on varakas, vahvasti digitalisoitunut rahoituskeskus, mutta sen keskeinen läpinäkyvyysrekisteri murrettiin näennäisen helposti. Hyökkäys viittaa siihen, että pienemmiltä lainkäyttöalueilta saattaa puuttua suurten valtioiden jatkuva uhkien seuranta- ja nopea reagointikyky – ja että taloudellisen salailun keskukset ovat ensisijaisia kohteita sekä valtiollisille että rikollisille toimijoille.