Stručně: U IT bezpečnosti advokátní kanceláře se počítá každý systém, přes který klienti posílají nebo si vyzvedávají dokumenty. Zjistěte, které z nich běží na PHP, nechte si potvrdit stav záplat a restart a každý podezřelý případ řešte tak, aby zůstaly zachovány důkazy a důvěrnost.
Kde kanceláře používají PHP, často aniž by to věděly
Samotný kancelářský software stojí většinou v kanceláři nebo ve specializovaném datacentru. PHP se nachází jinde: na webu kanceláře s formulářem pro první dotaz, v cestách pro nahrávání podkladů, v online rezervaci termínů a ve vlastních datových místnostech. Mnoho kanceláří používá pro bezpečnou výměnu dokumentů vlastní Nextcloud, který nastavila IT firma.
Právě tyto datové místnosti obsahují to nejcitlivější, co kancelář má: podání, plné moci, návrhy smluv, posudky, důkazní fotografie, v trestních věcech také vyšetřovací spisy. PHP2Shell umožňuje útočníkům spouštět kód bez přihlášení. Silné heslo na portálu proti tomu nepomůže.
Kanceláře se zaměřením například na rodinné, pracovní nebo zdravotnické právo zpracovávají navíc zdravotní údaje, posudky a podrobnosti ze soukromého života. V hospodářských kancelářích leží podklady k transakcím, které mohou být před zveřejněním relevantní pro kurzy. Jaký materiál leží ve vašich portálech, určuje, jak vážný incident je.
Mlčenlivost a ochrana osobních údajů: co znamená únik
Pro advokáty platí profesní povinnost mlčenlivosti. Neoprávněné vyzrazení tajemství klientů může být podle § 203 StGB (německý trestní zákoník) trestné. K tomu přistupují povinnosti z GDPR, mezi něž u zdravotního nebo trestněprávního kontextu patří zvláštní kategorie údajů.
Únik dat proto zasáhne kanceláře dvojnásob. Ohrožuje probíhající zakázky, když se například vyjednávací pozice nebo návrhy smírů dostanou do nesprávných rukou. A poškozuje důvěru, na které vztah s klientem stojí. Zda a jak musíte informovat klienty a dozorový úřad, posoudíte s pověřencem pro ochranu osobních údajů a s poradenstvím z hlediska profesního práva.
Web kanceláře jako nástroj podvodu
Napadený server kanceláře neslouží útočníkům jen jako zdroj dat. S hlavičkovým papírem, spisovou značkou a skutečnými jmény z klientského portálu lze padělat dopisy, které se od pravých téměř nedají odlišit. Obzvlášť choulostivé jsou výzvy k platbě, například vyrovnání nebo poplatků, se změněným bankovním spojením.
Zneužít lze i formulář pro první dotaz: útočník přesměruje dotazy na vlastní adresu a ozve se zájemcům jménem kanceláře. Po incidentu byste proto neměli nechat zkontrolovat jen server, ale klienty aktivně upozornit, že bankovní spojení nikdy neměníte e-mailem.
Zvláštní elektronická advokátní schránka (beA) a kancelářský software na vašem webovém serveru neběží. Nebezpečné to začíná být tam, kde jsou na webovém serveru uloženy přístupové údaje k poštovním schránkám nebo jiným systémům kanceláře.
IT bezpečnost kanceláře: kdo za co odpovídá?
V kancelářích bez vlastního IT oddělení se úkoly zpravidla rozdělují takto:
| Systém | Kdo ho spravuje | Otevřená otázka u PHP2Shell |
|---|---|---|
| Kancelářský software, pracovní stanice | IT firma | většinou není postižen |
| Nextcloud nebo datová místnost | IT firma nebo hosting | Kdo záplatuje PHP a restartuje? |
| Web s formuláři | webová agentura | Běží u hostingu na aktuálním PHP? |
| Online rezervace termínů | externí poskytovatel nebo plugin | Kde leží dotazy klientů? |
Mezera vzniká tam, kde IT firma považuje web za věc agentury a agentura server za věc hostingu. U každého systému si písemně stanovte, kdo aktualizuje PHP a restartuje procesy.
Podezřelý server nečistěte ukvapeně. Kdo ho nasadí znovu dříve, než jsou zajištěny stopy, později nedokáže prokázat, zda a jaká data klientů unikla.
První hodiny: jednat důvěrně a dohledatelně
- Dotčené portály a datové místnosti pro klienty zablokovat, interní práci vést dál přes kancelářský software.
- Zajistit logy od 20. 10. 2026 a zachovat stav serveru, než někdo smaže soubory.
- U provozovatele písemně vyžádat stav záplat a restart. Zobrazené číslo verze samo nestačí, protože backporty ho mohou nechat beze změny.
- Určit malý okruh osob, které o incidentu mluví, a připravit komunikaci navenek.
- Zapojit pověřence pro ochranu osobních údajů a sledovat lhůtu pro hlášení podle GDPR.
Jak konkrétně pomáhá PHP SOS?
- Před prvním přístupem upravíme písemnou mlčenlivost a omezíme přístup na nezbytné minimum.
- Zkontrolujeme stav záplat, provozní režim a restart všech systémů PHP kanceláře, které jsou dostupné z internetu.
- Při podezření zajistíme stopy forenzně, aby bylo později možné doložit, k čemu se přistupovalo. Podrobnosti na naší stránce o IT forenzní analýze.
- Systémy vyčistíme a zabezpečíme (hardening) a každý krok zdokumentujeme pro vedení kanceláře, pověřence pro ochranu osobních údajů a pojišťovnu.
- Na přání převezmeme průběžnou správu portálů, aby příští zranitelnost PHP znovu nezůstala ležet mezi IT firmou a agenturou.
Časté dotazy
Týká se PHP2Shell našeho kancelářského softwaru?
Vlastní kancelářský software většinou neběží na webovém serveru s PHP. Postiženy mohou být web, formuláře pro nahrávání, vlastní datové místnosti jako Nextcloud a portály postavené na PHP. Jasno přinese soupis všech systémů dostupných z internetu.
Smí externí IT dodavatel při incidentu přistupovat k datům klientů?
Profesní právo a § 203 StGB (německý trestní zákoník) umožňují zapojení spolupracujících dodavatelů za určitých podmínek, zejména při závazku mlčenlivosti. Jaké požadavky platí pro vaši kancelář konkrétně, ověřte z hlediska profesního práva. My mlčenlivost upravíme písemně před prvním přístupem.
Musíme klienty o útoku informovat?
Při riziku pro práva dotčených osob může GDPR vyžadovat oznámení, vedle toho přicházejí v úvahu profesněprávní úvahy. Rozhodnutí patří do rukou vedení kanceláře a pověřence pro ochranu osobních údajů. Koordinovaná komunikace brání protichůdným výrokům.