Stručně: Pro IT bezpečnost daňových poradců je rozhodující, které systémy kancelář provozuje sama. Velké portály dodavatelů softwaru jsou v jejich odpovědnosti, vlastní web, formuláře pro nahrávání a datové místnosti naopak ve vaší. Ty teď patří na záplatované PHP, s restartem a písemným dokladem.
Které systémy v daňových kancelářích běží na PHP
Pro finanční účetnictví a mzdy používá většina kanceláří specializovaný software a jeho portály. Vedle toho s léty vznikají vlastní řešení: formulář pro nahrávání dokladů na webu, dotazníky k dani z příjmů, stránka pro nové zaměstnance klientů k zadání mzdových kmenových dat, portál pro uchazeče o práci nebo vlastní Nextcloud pro velké soubory.
Tyto systémy běží téměř vždy na PHP a spravuje je agentura, IT firma nebo hosting. Právě malé formuláře upadají v zapomnění, protože byly jednou zřízeny a od té doby prostě fungují. Nahrané doklady pak často leží roky ve složce pro nahrávání na webovém serveru, ačkoli jsou už dávno zpracovány v kancelářském softwaru.
Jaká data jsou v sázce
Daňové kanceláře zpracovávají data v hustotě, jaké dosahuje málokterý obor: IBAN a bankovní výpisy, daňová identifikační čísla, doklady o příjmech, seznamy společníků a mzdové výkazy. Mzdová data někdy obsahují i zvláštní kategorie podle čl. 9 GDPR, například příslušnost k církvi pro církevní daň.
K tomu přistupuje profesní mlčenlivost: daňoví poradci jsou povinni mlčenlivosti, neoprávněné vyzrazení může být podle § 203 StGB (německý trestní zákoník) trestné. A mnoho dotčených osob nejsou vaši klienti, nýbrž jejich zaměstnanci. Při úniku se tak okruh dotčených rychle rozrůstá.
IT bezpečnost daňového poradce: co incident konkrétně způsobí
Útok na daňovou kancelář má typické následky, které se liší od jiných oborů:
- Podvod se skutečnými daty: Kdo zná faktury, bankovní spojení a kontaktní osoby, může klientům posílat klamavě věrohodné výzvy k platbě.
- Tlak termínů: Když portál pro nahrávání vypadne v období podávání, doklady se hromadí a klienti uhýbají k nebezpečným cestám, jako jsou nešifrované e-maily.
- Důvěra: Klienti spoléhají na to, že jejich finance zůstanou důvěrné. Incident, o kterém se dozvědí z tisku, váží víc než ten, o kterém je kancelář sama věcně informuje.
Pokud váš portál pro nahrávání stojí na serveru, jehož stav záplat PHP nikdo nedokáže potvrdit, odpojte ho od sítě, dokud nebude záplata a restart doložen. Tak to BSI (německý spolkový úřad pro informační bezpečnost) doporučuje u serverů, které nelze okamžitě aktualizovat.
Mezera v odpovědnosti mezi IT firmou a agenturou
IT firma spravuje kancelářský software a pracovní stanice, agentura web, hosting server. Kdo odpovídá za PHP na webovém serveru, stojí ve smlouvě jen zřídka výslovně. Vyjasněte si to nyní a nechte si potvrdit stav balíčku. Jak údaje zhodnotit, vysvětluje návod Kontrola verze PHP a stavu záplat.
Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pokud rozhraní ukazuje starší verzi, může být přesto nasazen backport. A naopak, aktualizace bez restartu procesů PHP nestačí.
Co by klienti měli nyní od vás vědět
Klienti reagují na zprávy o bezpečnostních zranitelnostech nejistotou, zvlášť pokud pravidelně nahrávají doklady. Důvěru pak buduje krátká, věcná informace: jaké cesty pro výměnu dokladů nyní platí, že kancelář nikdy nemění bankovní spojení e-mailem a že podezřelé výzvy k platbě je třeba ověřit telefonicky.
Pro firemní klienty je užitečný ještě jeden pokyn: mzdové účtárny a personální oddělení by měly být obzvlášť pozorné u dotazů na platová data nebo změněná bankovní spojení zaměstnanců. Takové pokusy o podvod rády využívají znalosti pocházející z kanceláří. Zda konkrétní incident vyžaduje formální oznámení podle GDPR, je samostatná otázka, kterou vyjasníte s pověřencem pro ochranu osobních údajů.
První hodiny pro vedení kanceláře
- Sepsat všechny vlastní systémy s PHP dostupné z internetu, včetně starých formulářů a testovacích instalací.
- U každého systému nechat písemně potvrdit stav záplat a restart, nebo ho dočasně vypnout.
- Zajistit logy od 20. 10. 2026 a stanovit bezpečnou náhradní cestu pro výměnu dokladů.
- Brzy informovat pojišťovnu a pověřence pro ochranu osobních údajů. Co vyžaduje vaše smlouva, objasňuje stránka o kyberpojištění.
Jak konkrétně pomáhá PHP SOS?
- Zmapujeme všechny externě dostupné systémy PHP kanceláře a ujasníme, které leží u dodavatele softwaru a které u vás.
- V rámci okamžité pomoci při PHP2Shell záplatujeme nebo necháme záplatovat, restartujeme všechny workery a výsledek doložíme.
- Zkontrolujeme adresáře pro nahrávání a databáze na webshelly a neznámé přístupy.
- Uklidíme: co se už nepoužívá, po dohodě vypneme místo toho, abychom to dál záplatovali.
- Díky servisní smlouvě pro bezpečnost zůstane odpovědnost za PHP poté jasně upravena.
Časté dotazy
Týká se výměna dokladů přes velké softwarové portály i nás?
Portály, které provozuje dodavatel softwaru ve vlastním datacentru, jsou v jeho odpovědnosti. Za jejich stav záplat odpovídá dodavatel. Postiženy mohou být především systémy, které vaše kancelář provozuje sama nebo přes agenturu, například webové formuláře, stránky pro nahrávání nebo vlastní Nextcloud.
Proč jsou data daňových poradců pro útočníky tak zajímavá?
Daňová kancelář soustředí data mnoha firem a soukromých osob: bankovní spojení, příjmy, daňová identifikační čísla a mzdová data zaměstnanců. S nimi lze připravit věrohodné podvodné e-maily a zneužití identity. Jediný incident tak často zasáhne stovky lidí, které kancelář nikdy přímo nezaměstnala.
Co dělat, když musí portál uprostřed období podávání odejít offline?
Předem stanovte náhradní cestu pro výměnu dokladů, například šifrované předání přes nepostižený systém. Klienty informujte stručně a věcně. Termíny a případná prodloužení lhůt řešíte jako obvykle odborně; portál odpojený od sítě není náhradou za domluvu.
Zaplatí kyberpojištění, když jsme byli nezáplatovaní?
Záleží na podmínkách a povinnostech ve vaší smlouvě. Informujte pojišťovnu včas a zdokumentujte, kdy jste jaké opatření provedli. Závaznou informaci poskytne jen pojišťovna nebo váš makléř.