Cyberatak na rejestr beneficjentów Liechtensteinu objął dane dotyczące około 31 tys. spółek, fundacji i trustów. Napastnicy uzyskali dostęp do centralnego zbioru, który wskazuje osoby kontrolujące te podmioty. Według władz skopiowali dane, lecz nie zmienili ani nie usunęli informacji zapisanych w systemie. Incydent naruszył więc poufność rejestru, przy zachowaniu jego integralności według obecnego stanu wiedzy. Administracja ograniczyła dostępność kilku usług, ponieważ rozpoczęła kontrolę systemów korzystających ze wspólnych elementów infrastruktury.
Zdarzenie ma znaczenie również poza Liechtensteinem. Banki, instytucje obowiązane i organy administracji wykorzystują podobne rejestry w procesach poznania klienta (KYC), przeciwdziałania praniu pieniędzy (AML) oraz weryfikacji kontrahentów. Niedostępność takiego źródła może zatrzymać proces, nawet gdy systemy organizacji działają prawidłowo. Skopiowanie całego zbioru tworzy z kolei warunki do precyzyjnych kampanii socjotechnicznych i prób podszywania się pod zaufane podmioty.
Tekst uwzględnia informacje opublikowane do godziny 12.53 dnia 4 sierpnia 2026 roku. Rząd Liechtensteinu zaplanował konferencję dotyczącą incydentu na godzinę 14.00. Publikacja będzie wymagała aktualizacji po przedstawieniu nowych ustaleń.
Czym jest rejestr beneficjentów rzeczywistych Liechtensteinu?
Rejestr beneficjentów rzeczywistych wskazuje osoby, które ostatecznie posiadają lub kontrolują spółki, fundacje, trusty i inne struktury prawne. Kontrola może wynikać z udziałów, praw głosu albo innych relacji umożliwiających wywieranie decydującego wpływu. Dane pozwalają połączyć formalną strukturę podmiotu z osobami fizycznymi stojącymi za jego działalnością lub majątkiem.
Liechtenstein prowadzi rejestr pod nazwą Verzeichnis der wirtschaftlich berechtigten Personen, w skrócie VwbP. Elektroniczny system pozostaje w gestii tamtejszego Urzędu Sprawiedliwości. Służy przeciwdziałaniu praniu pieniędzy, przestępstwom bazowym związanym z praniem pieniędzy oraz finansowaniu terroryzmu. Obejmuje dane beneficjentów spółek, fundacji i trustów.
Obecna podstawa prawna rejestru obowiązuje od 1 kwietnia 2021 roku. Liechtenstein wdrożył w ten sposób wymagania piątej unijnej dyrektywy w sprawie przeciwdziałania praniu pieniędzy. Pierwszy centralny rejestr tego rodzaju działał w kraju już od sierpnia 2019 roku.
Dane z VwbP wspierają kontrole prowadzone przez organy publiczne oraz podmioty objęte obowiązkami należytej staranności. Instytucje finansowe mogą porównywać informacje przekazane przez klienta z danymi zgromadzonymi w rejestrze. Zbiór ma więc wysoką wartość operacyjną dla administracji i sektora finansowego. Z perspektywy napastnika ma również wysoką wartość informacyjną.
Jak przebiegał cyberatak na rejestr beneficjentów Liechtensteinu?
Napastnicy uzyskali nieuprawniony dostęp do VwbP w nocy z 29 na 30 lipca 2026 roku. Pracownicy Urzędu Sprawiedliwości zauważyli nieprawidłowości jeszcze 30 lipca. Urząd Informatyki rozpoczął analizę zdarzenia, zabezpieczył dane i odłączył zaatakowany system od sieci.
Rząd otrzymał informację o prawdopodobnie skutecznym ataku 31 lipca. Pierwsze potwierdzone wyniki analizy przekazano władzom po południu 1 sierpnia. Tego samego dnia powołano sztab kryzysowy, który formalnie zatwierdzono 2 sierpnia. Kierują nim premier Brigitte Haas oraz minister sprawiedliwości Emanuel Schädler.
W działania włączyły się organy ścigania, administracja odpowiedzialna za infrastrukturę IT oraz zewnętrzni specjaliści. Rząd utworzył również centralny punkt kontaktowy dla osób, których dane mogły zostać objęte naruszeniem. Dostęp do rejestru dla użytkowników zewnętrznych pozostaje zawieszony.
Wstępna analiza powłamaniowa wskazuje na ukierunkowany charakter cyberataku na rejestr beneficjentów Liechtensteinu. Władze nie wykryły podobnej aktywności w innych systemach administracji. Dochodzenie dotyczące metody włamania nadal trwa.
Jakie dane skopiowali napastnicy?
Oficjalny komunikat mówi o kopiach danych dotyczących około 31 tys. podmiotów prawnych. W tej grupie znajdują się spółki, fundacje i trusty. Rząd nie podał dotychczas liczby osób fizycznych objętych naruszeniem ani pełnego katalogu skopiowanych pól.
Rozróżnienie między podmiotami a osobami ma znaczenie. Część depesz prasowych opisała zdarzenie jako przejęcie danych około 31 tys. osób. Oficjalny komunikat Liechtensteinu oraz depesza Reutersa odnoszą tę liczbę do podmiotów prawnych. Liczba powiązanych z nimi beneficjentów może być inna i pozostaje niepotwierdzona.
Na obecnym etapie brakuje podstaw do potwierdzenia przejęcia konkretnych adresów, numerów dokumentów identyfikacyjnych lub innych szczegółowych kategorii danych. Rejestr z założenia łączy jednak informacje o beneficjentach z podmiotami, nad którymi sprawują kontrolę. Skopiowany zbiór może więc ujawniać relacje właścicielskie i majątkowe, nawet gdy część pojedynczych informacji była dostępna innymi drogami.
Simon Tribelhorn, dyrektor Liechtenstein Bankers Association, przekazał Reutersowi, że atak nie objął banków ani danych ich klientów. Jest to stanowisko organizacji branżowej, a nie końcowy wynik dochodzenia technicznego. Pełna ocena zakresu incydentu wymaga zakończenia analizy kryminalistycznej.
Dlaczego brak zmiany danych nie ogranicza znaczenia incydentu?
Cyberatak naruszył poufność informacji zgromadzonych w VwbP. Zachowana integralność oznacza, że według obecnych ustaleń napastnicy nie zmienili ani nie usunęli danych w rejestrze. Kopie informacji znalazły się jednak poza kontrolą administratora.
Władze formalnie zakwalifikowały zdarzenie jako naruszenie ochrony danych osobowych w rozumieniu art. 33 RODO. Sztab kryzysowy rozpoczął przygotowania do informowania osób objętych naruszeniem zgodnie z art. 34 RODO. Skala obowiązku informacyjnego będzie zależała od liczby osób fizycznych oraz rodzaju skopiowanych danych.
Incydent objął trzy wymiary bezpieczeństwa informacji. Poufność została naruszona przez skopiowanie danych. Integralność pozostała zachowana według dostępnych ustaleń. Dostępność ograniczono świadomie, ponieważ administracja odłączyła rejestr i kolejne systemy na czas kontroli.
Taki przebieg zdarzenia ma znaczenie dla oceny ryzyka. Organizacja może zachować działające aplikacje i kompletne kopie zapasowe, a jednocześnie utracić kontrolę nad informacją. Mierniki skoncentrowane wyłącznie na czasie niedostępności lub liczbie uszkodzonych rekordów nie pokażą pełnego skutku biznesowego.
Dlaczego Liechtenstein wyłączył kolejne systemy administracji?
Administracja odłączyła dodatkowe systemy w celu sprawdzenia, czy atakujący wykorzystali wspólną podatność albo element infrastruktury. Władze określiły te działania jako prewencyjne. Dotychczas nie wykryto nieuprawnionego dostępu do wyłączonych usług.
Dnia 31 lipca wyłączono portal podatku od wartości dodanej eMWST oraz platformę raportowania i wymiany danych Lides. Dnia 3 sierpnia odłączono Centralny Rejestr Rachunków i centralny system administracji podatkowej Intax. Wszystkie te systemy poddano rozszerzonej kontroli bezpieczeństwa.
Decyzja ogranicza prawdopodobieństwo dalszego przemieszczania się napastnika pomiędzy systemami. Jednocześnie wpływa na usługi wykorzystywane przez przedsiębiorców, administrację oraz instytucje finansowe. Skutek operacyjny cyberataku wykracza więc poza aplikację, która stanowiła bezpośredni cel.
Z perspektywy ciągłości działania taki scenariusz wymaga analizy zależności. Proces może korzystać z zewnętrznego rejestru, bramki wymiany danych, systemu podatkowego i usług identyfikacyjnych. Czasowe odłączenie jednego komponentu może uruchomić ograniczenia w całym łańcuchu. Dokumentacja BIA powinna pokazywać te relacje przed wystąpieniem incydentu.
Dlaczego rejestr beneficjentów stanowi atrakcyjny cel?
Centralny rejestr pozwala analizować powiązania pomiędzy osobami, spółkami, fundacjami i trustami. Pojedynczy rekord może mieć ograniczoną wartość. Cały zbiór umożliwia jednak odtworzenie sieci zależności właścicielskich i kontrolnych.
Takie informacje mogą wspierać precyzyjny phishing oraz podszywanie się pod kancelarie prawne, banki, doradców podatkowych lub administrację. Napastnik może wykorzystać prawdziwe nazwy podmiotów, relacje pomiędzy osobami i kontekst konkretnej struktury. Wiadomość oparta na tych danych będzie trudniejsza do rozpoznania niż masowa kampania wysyłana do przypadkowych odbiorców.
Informacje mogą również wspierać oszustwa polegające na zmianie numeru rachunku, fałszywym poleceniu zapłaty albo przejęciu korespondencji dotyczącej transakcji. Ryzyko rośnie w sytuacji gdy przestępcy połączą dane z rejestru z informacjami pochodzącymi z wcześniejszych wycieków.
Są to scenariusze ryzyka, a nie potwierdzony sposób wykorzystania skopiowanego zbioru. Władze nie wskazały dotychczas sprawców, motywacji ani miejsca publikacji danych. Brakuje także potwierdzonej informacji o żądaniu okupu lub próbie sprzedaży zbioru.
Co cyberatak oznacza dla procesów AML i KYC?
Organizacje korzystające z zewnętrznych rejestrów powinny uwzględniać ich niedostępność w planach ciągłości działania. Dotyczy to procesów AML, KYC, obsługi klienta, weryfikacji kontrahentów, podatków oraz zatwierdzania transakcji. Awaria źródła danych może zatrzymać proces mimo pełnej dostępności systemów wewnętrznych.
Procedura zastępcza powinna określać, które czynności mogą być wykonywane bez dostępu do rejestru. Musi również wskazywać akceptowane źródła alternatywne, zakres dopuszczalnego odstępstwa oraz osobę uprawnioną do podjęcia decyzji. Organizacja powinna udokumentować, kiedy może kontynuować obsługę, a kiedy musi wstrzymać transakcję.
W analizie BIA zewnętrzny rejestr należy traktować jako zależność procesu. Jego znaczenie wynika z funkcji, którą pełni, a nie z własności infrastruktury. System administrowany przez państwo może pozostawać poza kontrolą organizacji i jednocześnie wpływać na jej czasy odtworzenia.
Ćwiczenia ciągłości działania powinny obejmować scenariusz czasowej niedostępności takiego źródła. Zespół może wtedy sprawdzić ścieżkę decyzyjną, sposób dokumentowania odstępstw i komunikację z klientami. Ćwiczenie pokaże również, czy pracownicy znają źródła alternatywne i ograniczenia ich stosowania.
Dlaczego kopie zapasowe nie chronią przed skopiowaniem danych?
Kopie zapasowe wspierają odtworzenie informacji po ich usunięciu, uszkodzeniu lub zaszyfrowaniu. W przypadku VwbP napastnicy skoncentrowali się na pozyskaniu kopii. Oryginalny zbiór pozostał dostępny dla administratora do momentu odłączenia systemu.
Ochrona przed eksfiltracją wymaga monitorowania nietypowego odczytu, masowego pobierania oraz eksportu danych. Znaczenie mają limity zapytań, segmentacja uprawnień, rejestrowanie operacji i analiza zachowania kont. Mechanizmy powinny wykrywać, że uprawniony technicznie dostęp jest wykorzystywany w nietypowy sposób.
Organizacja powinna również znać maksymalny zakres danych dostępny z pojedynczego konta lub komponentu. Zbyt szerokie uprawnienia zwiększają rozmiar potencjalnego naruszenia. Ograniczenie dostępu według roli i celu przetwarzania zmniejsza liczbę rekordów, które można pozyskać podczas jednego incydentu.
Testy techniczne powinny łączyć się z ćwiczeniami reakcji kryzysowej. Sam alert bezpieczeństwa nie przywróci kontroli nad zdarzeniem. Zespół musi wiedzieć, kto podejmuje decyzję o odłączeniu systemu, jak zabezpiecza materiał dowodowy i kiedy informuje kierownictwo oraz osoby objęte naruszeniem.
Jakie pytania pozostają otwarte?
Władze Liechtensteinu nie ujawniły dotychczas sposobu uzyskania dostępu do VwbP. Nie wiadomo, czy napastnicy wykorzystali podatność techniczną, przejęte konto, błąd konfiguracji albo inną metodę. Dochodzenie ma również ustalić czas obecności atakujących w systemie.
Nie znamy pełnej objętości skopiowanego zbioru ani liczby osób fizycznych objętych naruszeniem. Nie opublikowano również informacji o mechanizmach, które wykryły nieprawidłowości. Dane te pozwoliłyby ocenić skuteczność monitorowania oraz czas reakcji.
Dalsza analiza powinna wyjaśnić, czy napastnicy uzyskali dostęp do jednego komponentu, czy poruszali się pomiędzy elementami infrastruktury. Prewencyjne wyłączenie kolejnych systemów wskazuje, że administracja sprawdza szerszy zakres zależności. Według dostępnych ustaleń pozostałe usługi nie zostały zaatakowane.
Znaczenie będzie miał również sposób informowania osób objętych zdarzeniem. Komunikat powinien wskazać rodzaj ujawnionych danych, prawdopodobne konsekwencje oraz działania ograniczające ryzyko. Ogólna informacja o cyberataku nie wystarczy osobie, która musi ocenić możliwość podszywania się pod jej bank, pełnomocnika lub podmiot, z którym pozostaje powiązana.
Jakie wnioski powinny wyciągnąć organizacje?
Cyberatak na rejestr beneficjentów Liechtensteinu pokazuje wartość skoncentrowanych zbiorów danych dla napastników. System wspierający przejrzystość finansową może równocześnie ujawniać relacje, których zestawienie tworzy szczegółowy obraz osób i majątku.
Ocena bezpieczeństwa powinna uwzględniać wartość danych po ich połączeniu. Organizacja musi monitorować masowe odczyty, ograniczać zakres uprawnień oraz przygotować procedurę szybkiej izolacji. Powinna również znać operacyjne konsekwencje wyłączenia systemu na czas dochodzenia.
Incydent potwierdza znaczenie zależności zewnętrznych w planach ciągłości działania. Dostępność własnej infrastruktury nie zapewnia możliwości realizowania procesu, gdy potrzebne źródło państwowe pozostaje offline. Procedury zastępcze, odpowiedzialność decyzyjna i akceptowane źródła alternatywne powinny powstać wcześniej.
Dalsze ustalenia rządu Liechtensteinu zdecydują o końcowej ocenie zdarzenia. Już obecne informacje uzasadniają jednak przegląd ochrony rejestrów, mechanizmów wykrywania eksfiltracji oraz planów działania podczas niedostępności zewnętrznych źródeł danych.
Chcesz sprawdzić, czy plany ciągłości działania obejmują niedostępność zewnętrznych rejestrów?
Umów się na rozmowę o zakresie audytu planów ciągłości działania → [link]
Ocena zależności, procedur zastępczych i odpowiedzialności w sytuacji awarii.
Źródła
- Rząd Księstwa Liechtensteinu, „Unauthorised third‐party access to register data”, sierpień 2026.
https://www.regierung.li/medienportal-medium/16444/234654/0/medienmitteilung - Rząd Księstwa Liechtensteinu, „Initial findings: targeted attack on the VwbP”, sierpień 2026.
https://www.regierung.li/medienportal-medium/16444/234663/medienmitteilung - Administracja Księstwa Liechtensteinu, „Register of Beneficial Owners”, dostęp 4 sierpnia 2026 roku.
https://www.llv.li/en/national-administration/office-of-justice/foundation-supervision-and-anti-money-laundering-stifa-gwp/register-of-beneficial-owners-vwbp - European e‑Justice Portal, „Information on Liechtenstein national BOR”, grudzień 2022.
https://e‑justice.europa.eu/sites/default/files/2022–12/BOR_Lichtenstein_EU_en.pdf?id=7eeca7b7-4977–40c9-9ab8-ec5e80d8e5f7 - Reuters, „Liechtenstein says hackers access information on 31,000 legal entities”, sierpień 2026.
https://www.reuters.com/world/liechtenstein-says-hackers-access-information-31000-legal-entities-2026–08-03/ - Associated Press, „Cyberattack hits Liechtenstein’s register of people behind companies and foundations”, sierpień 2026.
https://apnews.com/article/ce499c6c1d87c3c952058dc86f31d6ff
