Stručně: Pokud je web vašeho spolku napaden nebo běží na nezáplatovaném PHP, nepotřebujete velký rozpočet, ale jasnou odpovědnost. Jeden člen výboru se u hostingu zeptá na stav záplat, zajistí přístupy a v nouzi rozhodne web dočasně vypnout. Údaje členů mají přitom přednost před kalendářem akcí.
Jak jsou weby spolků typicky postaveny
Většina webů spolků a svazů běží na WordPressu nebo Joomle, nastavil je angažovaný člen, často před mnoha lety. Typické funkce: termíny a rozpisy zápasů, fotogalerie, členská sekce s protokoly, online členské přihlášky se SEPA mandátem k inkasu, formuláře pro dary a přihlášky na kurzy, turnaje nebo výlety.
Svazy navíc provozují portály pro členské firmy nebo místní skupiny, oblasti pro orgány s důvěrnými podklady a rezervace seminářů. Skoro všechno z toho je postaveno na PHP a leží na levném webhostingu.
Jaké údaje členů leží na serveru
Online členské přihlášky obsahují jména, data narození, adresy a bankovní spojení. Ve sportovních spolcích je mnoho členů nezletilých, přihlášky pak uvádějí i zákonné zástupce. Některé údaje patří do zvláštních kategorií podle čl. 9 GDPR, například zdravotní údaje v rehabilitačním a handicapovaném sportu nebo členství v odborech a náboženských společenstvích.
Často na serveru navíc leží zapomenuté soubory: seznamy členů jako tabulka pro pokladníka, exporty pro rozesílání spolkového časopisu, staré zálohy. Právě ty jsou při útoku rychle zkopírovány.
U svazů přistupují jiná data: kontaktní osoby a ukazatele členských firem, stanoviska ve fázi návrhu, protokoly ze zasedání výboru a odborných komisí. Co bylo důvěrně projednáno, může při úniku oslabit vyjednávací pozice nebo poštvat členy proti sobě. Pro svazy je proto členská sekce často choulostivější než veřejný web.
Spolek a napadený web: co to konkrétně znamená
- Zneužití bankovních údajů: Se jmény a IBAN lze připravit padělaná inkasa nebo podvodné e-maily jménem spolku.
- Pověst v obci: Web spolku, který přesměrovává na pochybné nabídky, si všimnou členové, sponzoři i místní tisk.
- Oznamovací povinnost: I spolky jsou správci podle GDPR. Při úniku dat může být nutné hlášení dozorovému úřadu do 72 hodin. Větší spolky mají pro to pověřence pro ochranu osobních údajů, menší se obracejí na zastřešující svaz nebo právní poradenství.
Typická mezera: dobrovolnictví a střídání výboru
Ve spolku zná technické podrobnosti často jen jedna osoba. Když odejde nebo se mění výbor, chybí přístupové údaje a nikdo neví, jaká verze PHP běží. Aktualizace CMS PHP2Shell neuzavře. Za PHP odpovídá u běžného webhostingu poskytovatel hostingu, dotaz však musí přijít od spolku.
Ve výboru stanovte, kdo je za web odpovědný, a přístupy k doméně, hostingu a administraci uložte tak, aby k nim měly přístup nejméně dvě osoby. Administrátorské účty zabezpečte dvoufázovým ověřením.
První kroky pro výbor
- U hostingu se písemně zeptat: Je PHP pro náš balíček aktualizováno na 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, nebo záplatováno backportem a restartováno?
- Bez jasné odpovědi nebo při nápadnostech web dočasně vypnout. Termíny lze mezitím rozesílat hromadným e-mailem.
- Požádat hosting, aby uchoval logy od 20. 10. 2026.
- Staré seznamy členů, exporty a nepoužívané pluginy odstranit ze serveru a smazat nadbytečné administrátorské účty.
- Při náznacích úniku dat zapojit pověřence pro ochranu osobních údajů nebo zastřešující svaz.
S malým rozpočtem rozumně stanovit priority
Žádný spolek nemusí uskutečnit každé bezpečnostní opatření najednou. Smysluplné je pořadí podle škody: nejdřív chránit nebo odstranit vše, co obsahuje bankovní spojení a údaje dětí. Pak stránky s přihlášením, tedy členskou sekci a administrátorský přístup. Nakonec termíny, zprávy a galerie, které jsou stejně veřejné.
Nejlevnějším řešením je často funkce předat, místo abyste je provozovali sami. Členské přihlášky a mandáty k inkasu lze vyřizovat přes spolkovou správu, kterou provozuje poskytovatel, místo vlastnoručně postaveného formuláře. Svazy s portály pro členské firmy by měly ověřit, zda tam neleží důvěrné podklady orgánů, které by byly lépe uloženy v samostatně chráněném systému. Čím méně dat leží na webu spolku, tím menší práci způsobí příští zranitelnost.
Jak konkrétně pomáhá PHP SOS?
- Pomůžeme výboru získat přístupy zpět a s hostingem ujasníme stav záplat.
- Při podezření zkontrolujeme web na škodlivý kód a neznámé účty a vyčistíme ho v rámci naší nouzové pomoci.
- Cíleně uklidíme: co spolek nepotřebuje, se odstraní, místo aby se to dál zabezpečovalo.
- Předáme vám krátké srozumitelné předání, aby i příští výbor věděl, co kde leží.
Časté dotazy
Ručí výbor, když je web spolku napaden?
Spolek odpovídá za data svých členů a výbor spolek zastupuje. Zda a jak daleko přichází v úvahu osobní odpovědnost, závisí na konkrétním případu a stanovách. To je otázka pro právní poradenství nebo zastřešující svaz.
Náš webmaster ze spolku vystoupil. Jak se dostaneme k přístupům?
Smluvním partnerem hostingu je zpravidla spolek. S dokladem o oprávnění jednat jménem spolku, například výpisem z rejstříku, může výbor u hostingu nechat přístupy obnovit. Poté by přístupové údaje měly být uloženy na místě, ke kterému mají přístup nejméně dva členové výboru.
Co nestojí nic a pomůže hned?
U hostingu se písemně zeptat na stav záplat PHP, smazat nepoužívané administrátorské účty, odstranit už nepotřebné pluginy a smazat ze serveru staré exporty členů. To riziko výrazně snižuje, ale nenahrazuje kontrolu, pokud už existují známky napadení.