Stručně: Pro IT bezpečnost správy domů se počítají především systémy, přes které nájemci a vlastníci odesílají data: portály, hlášení škod a formuláře zájemců o byty. Ujasněte, které z nich běží na vašem vlastním serveru, nechte si potvrdit záplatu PHP a mějte připravenou náhradní cestu pro naléhavá hlášení škod.
Jaké systémy PHP správci domů a makléři používají
Mnoho správců pracuje s oborovým softwarem pro objekty, nájemné a vyúčtování. Navenek přistupují další systémy: portály nájemců a vlastníků s úložištěm dokumentů, online formuláře pro hlášení škod s nahráváním fotografií, nabídky bytů s formulářem zájemce a dotazníkem nájemce, oblasti pro shromáždění vlastníků s protokoly a usneseními.
Část z toho se provozuje jako služba poskytovatele softwaru, jiná běží na vlastním webu, často na WordPressu s realitními pluginy. Pro PHP2Shell je rozhodující právě tento rozdíl.
K tomu přistupují rozhraní, kterých si v běžném provozu téměř nikdo nevšimne: nabídky nemovitostí se automaticky přenášejí z oborového softwaru na web a do realitních portálů, stavy měřidel přicházejí od měřicích firem, zakázky řemeslníkům běží přes vlastní formuláře. Každé z těchto spojení potřebuje přístupové údaje, které bývají uloženy na webovém serveru. Po incidentu je nutné všechny obnovit, jinak zůstanou útočníkovi zadní vrátka do sousedních systémů.
Jaká data nájemci a vlastníci svěřují
U správy domů leží nájemní smlouvy, bankovní spojení pro inkaso, vyúčtování služeb, stavy měřidel, korespondence k závadám a sporům i fotografie z bytů. U zájemců přibývají dotazníky s doklady o příjmech, kopiemi dokladů totožnosti a bonitními zprávami. V portálech vlastníků se najdou usnesení, rezervní fondy a částečně informace o uzamykacích systémech.
Pro útočníky jsou tato data zajímavá ze dvou důvodů: umožňují zneužití identity a poskytují vše, co je třeba pro věrohodné podvodné e-maily, například údajné nové bankovní spojení pro nájemné. Nahrané soubory jsou navíc typickou cestou útoku. Jak se nahrávání řeší bezpečně, vysvětluje poradna Nahrávání souborů v PHP.
Správa domů a IT bezpečnost: co incident znamená
Když portál vypadne, chybí kanál pro naléhavá hlášení, jako jsou vodní škody nebo výpadky topení. To vytváří tlak na telefon a pohotovost, ale je to plánovatelné. Nebezpečnější je nepozorovaný útok:
- Nájemci dostávají padělané výzvy k platbě s cizím IBAN, které uvádějí skutečné údaje ze smluv.
- Dotazníky zájemců o byty se kopírují a používají k podvodům.
- Vlastníci ztrácejí důvěru ve správu, což se stane tématem na příštím shromáždění.
Pokud existují náznaky úniku dat, může být nutné hlášení dozorovému úřadu podle 72hodinového pravidla GDPR. Posouzení provedete s pověřencem pro ochranu osobních údajů.
Pokud nikdo nepotvrdí, že PHP na serveru vašeho portálu je záplatované a restartované, odpojte portál od sítě. Hlášení škod dočasně přesměrujte na telefon a pohotovost.
Typická mezera v odpovědnosti
| Systém | Provoz | Kdo záplatuje PHP |
|---|---|---|
| Oborový software v kanceláři | IT správce | většinou není postižen |
| Portál jako služba poskytovatele | poskytovatel softwaru | poskytovatel, vyžádat potvrzení |
| Portál na vlastním serveru | hosting nebo dodavatel | podle smlouvy, často nevyjasněno |
| Web s nabídkami bytů | agentura a hosting | hosting u webhostingu |
K tomu přistupuje, že v menších správách nikdo nemá celkový přehled. Agentura zná web, IT správce kancelářské počítače, poskytovatel softwaru svůj portál.
Vlastníky, výbory a nájemce správně zapojit
Ve správě společenství vlastníků jednotek (WEG) nejsou vlastníci a správní výbory jen dotčení, ale také zadavatelé. Právem očekávají, že správa o incidentu informuje otevřeně a doložitelně. Krátká zpráva s příčinou, dotčenými systémy, provedenými opatřeními a otevřeným stavem je lepší než mlčení do příštího shromáždění.
Nájemci potřebují hlavně praktické pokyny: jaká cesta hlášení právě platí, že se bankovní spojení nemění e-mailem a komu mohou podezřelé zprávy předat. Sladěné texty brání tomu, aby domovníci, referenti i účetní podávali různé informace.
První hodiny pro jednatele
- Sepsat všechny portály a formuláře a u každého ujasnit, kde běží.
- Nechat písemně potvrdit stav záplat na 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. backport, a restart.
- Zajistit logy od 20. 10. 2026, nechat zkontrolovat adresáře pro nahrávání na neznámé soubory.
- Zkontrolovat účty zaměstnanců v portálech a po vyčištění je zabezpečit dvoufázovým ověřením.
- Nájemce preventivně upozornit, že se bankovní spojení nemění e-mailem.
Jak konkrétně pomáhá PHP SOS?
- Zmapujeme vaše portály a formuláře a s poskytovatelem, agenturou a hostingem ujasníme odpovědnosti.
- Zkontrolujeme stav záplat a restart a prozkoumáme adresáře pro nahrávání a databáze na webshelly.
- Při napadení vyčistíme v rámci nouzové pomoci při napadených webech a incident zdokumentujeme pro pověřence pro ochranu osobních údajů a pojišťovnu.
- Díky servisní smlouvě pro bezpečnost zůstane PHP na vašich serverech trvale aktuální a sledované.
Časté dotazy
Náš portál nájemců je software od poskytovatele. Týká se nás to?
Pokud portál běží jako služba u poskytovatele, odpovídá za server a PHP on. Zeptejte se tam písemně na stav. Pokud stejný software běží na vašem vlastním serveru nebo u vašeho hostingu, leží záplata a restart na vás nebo na vašem dodavateli.
Která data z dotazníku nájemce jsou obzvlášť citlivá?
Doklady o příjmech, kopie dokladů totožnosti, bonitní zprávy a údaje o zaměstnavateli se hodí ke zneužití identity a podvodům. Měly by být ukládány jen po dobu nezbytnou pro pronájem. Jak dlouho to je, ujasněte s pověřencem pro ochranu osobních údajů.
Jak zabráníme padělaným výzvám k platbě nájemcům?
Sdělte nájemcům, že se vaše bankovní spojení nemění e-mailem ani zprávou v portálu, aniž byste to potvrdili druhou cestou. Po incidentu byste měli nájemce aktivně varovat. Technicky pomáhá hardening portálů a dvoufázové ověření pro účty zaměstnanců.