Накратко: За ИТ сигурността на един управител на имоти имат значение преди всичко системите, през които наемателите и собствениците подават данни: портали, подаване на щети и форми за кандидатстване за жилища. Изяснете кои от тях работят на Вашия собствен сървър, поискайте потвърждение за PHP пача и дръжте готов резервен път за спешни сигнали за щети.
Какви PHP системи използват управителите на имоти и брокерите
Много управители работят със специализиран софтуер за обекти, наеми и режийни разноски. Навън се добавят още системи: портали за наематели и собственици със съхранение на документи, онлайн форми за подаване на щети с качване на снимки, обяви за жилища с форма за заинтересовани лица и декларация на наемателя, области за събранията на собствениците с протоколи и решения.
Част от тях се управлява като услуга на софтуерния доставчик, друга част работи на собствения уебсайт, често WordPress с добавки за недвижими имоти. За PHP2Shell именно това разграничение е решаващо.
Към това се добавят интерфейси, които в ежедневието почти никой не забелязва: обявите за недвижими имоти се прехвърлят автоматично от специализирания софтуер към уебсайта и към имотни портали, показанията на измервателните уреди идват от фирми за отчитане, заявките към майстори минават през собствени форми. Всяка от тези връзки изисква данни за достъп, които често са записани на уеб сървъра. След инцидент всички те трябва да се подновят, иначе на атакуващия остава задна вратичка към съседни системи.
Какви данни доверяват наемателите и собствениците
В управлението на имоти се намират договори за наем, банкови сметки за директен дебит, изравнявания на режийните разноски, показания на уреди, кореспонденция за дефекти и спорове, както и снимки от жилища. При заинтересованите лица се добавят декларации с доказателства за доходи, копия на лични документи и кредитни справки. В порталите за собственици се намират решения, резерви и отчасти информация за системи за заключване.
За атакуващите тези данни са интересни по две причини: те позволяват злоупотреба със самоличност и дават всичко необходимо за правдоподобни измамнически имейли, например уж нова банкова сметка за наема. Качените файлове са освен това типичен път за атака. Как се реализират качванията сигурно, обяснява наръчникът Качване на файлове в PHP.
Управление на имоти и ИТ сигурност: какво означава един инцидент
Ако порталът отпадне, липсва каналът за спешни сигнали като течове или спрял отопление. Това създава натиск върху телефона и аварийната служба, но е планируемо. По-опасна е незабелязаната атака:
- Наемателите получават фалшиви искания за плащане с чужд IBAN, които посочват истински данни от договора.
- Декларациите на кандидатите за жилища се копират и използват за измама.
- Собствениците губят доверие в управлението, което става тема на следващото събрание.
Ако има признаци за изтичане на данни, може да е необходимо уведомяване на надзорния орган по правилото за 72 часа от ОРЗД. Оценката правите със своето длъжностно лице по защита на данните.
Ако никой не потвърждава, че PHP на сървъра на Вашия портал е пачнат и рестартиран, изключете портала от мрежата. Пренасочете временно сигналите за щети към телефон и аварийна служба.
Типичната празнина в отговорностите
| Система | Експлоатация | Кой пачва PHP |
|---|---|---|
| Специализиран софтуер в офиса | ИТ поддръжка | най-често не е засегната |
| Портал като услуга на доставчика | Софтуерен доставчик | Доставчикът, поискайте потвърждение |
| Портал на собствен сървър | Хостинг доставчик или изпълнител | според договора, често неизяснено |
| Уебсайт с обяви за жилища | Агенция и хостинг доставчик | Хостинг доставчикът при уеб хостинг |
Към това се добавя, че в по-малките управления никой няма цялостната картина. Агенцията познава уебсайта, ИТ поддръжката – офис компютрите, софтуерният доставчик – своя портал.
Как да включите правилно собствениците, съветите и наемателите
В управлението на етажна собственост (WEG) собствениците и съветите на управлението не са само засегнати, а и възложители. Те с право очакват управлението при инцидент да докладва открито и доказуемо. Кратък доклад с причината, засегнатите системи, предприетите мерки и открития остатък е по-добър от мълчание до следващото събрание.
Наемателите се нуждаят преди всичко от практични указания: кой път за сигнали важи в момента, че банковите сметки не се променят по имейл и на кого могат да препращат подозрителни съобщения. Съгласуваните текстове предотвратяват домоуправителите, служителите по обработка и счетоводството да дават различна информация.
Първите часове за ръководството
- Съставете списък на всички портали и форми и за всеки изяснете къде работи.
- Поискайте писмено потвърждение на състоянието на пача до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, респективно backport, и на рестартирането.
- Запазете логовете от 20.10.2026 г., накарайте да се проверят директориите за качване за непознати файлове.
- Прегледайте акаунтите на служителите в порталите и след почистването ги защитете с двуфакторно удостоверяване.
- Предупредете наемателите превантивно, че банковите сметки не се променят по имейл.
Как помага PHP SOS конкретно?
- Описваме Вашите портали и форми и уточняваме с доставчика, агенцията и хостинг доставчика отговорностите.
- Проверяваме състоянието на пача и рестартирането и проучваме папките за качване и базите данни за уеб шелове.
- При заразяване почистваме в рамките на спешната помощ при хакнати уебсайтове и документираме инцидента за длъжностното лице по защита на данните и застрахователя.
- С договор за поддръжка на сигурността PHP на Вашите сървъри остава трайно актуален и под наблюдение.
Често задавани въпроси
Нашият портал за наематели е софтуер на доставчик. Засегнати ли сме?
Ако порталът работи като услуга при доставчика, той отговаря за сървъра и за PHP. Попитайте там писмено за състоянието. Ако същият софтуер работи на Ваш собствен сървър или при Вашия хостинг доставчик, пачът и рестартирането са Ваша задача или на Вашия изпълнител.
Кои данни от декларацията на наемателя са особено деликатни?
Доказателства за доходи, копия на лични документи, кредитни справки и данни за работодателя са подходящи за злоупотреба със самоличност и за измама. Те трябва да се съхраняват само толкова дълго, колкото е нужно за отдаването под наем. Колко дълго е това, изяснете със своето длъжностно лице по защита на данните.
Как да предотвратим фалшиви искания за плащане към наемателите?
Съобщете на наемателите, че Вашата банкова сметка не се променя по имейл или чрез съобщение в портала, без да го потвърдите по втори път. След инцидент трябва да предупредите наемателите активно. Технически помагат заздравяването на порталите и двуфакторното удостоверяване за акаунтите на служителите.