# Ασφάλεια πληροφορικής για φοροτεχνικούς και τα portal εντολέων τους

> Upload παραστατικών, portal εντολέων, μισθοδοσία: πώς θωρακίζουν οι φοροτεχνικοί τα συστήματα PHP απέναντι στο PHP2Shell και προστατεύουν τους εντολείς.

Πηγή: https://phpsos.de/el/branchen/steuerberater/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Για την ασφάλεια πληροφορικής των φοροτεχνικών αποφασιστικό είναι ποια συστήματα λειτουργεί το ίδιο το γραφείο. Τα μεγάλα portal των παρόχων λογισμικού βρίσκονται στην ευθύνη τους, ο δικός σας ιστότοπος, οι φόρμες μεταφόρτωσης και τα data rooms όμως στη δική σας. Αυτά ανήκουν τώρα σε PHP με patch, με επανεκκίνηση και γραπτή απόδειξη.

## Ποια συστήματα των φοροτεχνικών γραφείων λειτουργούν σε PHP

Για τη χρηματοοικονομική λογιστική και τη μισθοδοσία τα περισσότερα γραφεία χρησιμοποιούν εξειδικευμένο λογισμικό και τα portal του. Δίπλα σε αυτά δημιουργούνται με τα χρόνια δικές τους λύσεις: μια φόρμα μεταφόρτωσης στον ιστότοπο για παραστατικά, ερωτηματολόγια για τη φορολογία εισοδήματος, μια σελίδα για νέους υπαλλήλους των εντολέων ώστε να καταχωρίζουν τα βασικά μισθολογικά στοιχεία, ένα portal αιτήσεων εργασίας ή ένα δικό σας [Nextcloud](https://phpsos.de/el/plattformen/nextcloud/) για μεγάλα αρχεία.

Αυτά τα συστήματα λειτουργούν σχεδόν πάντα σε PHP και συντηρούνται από ένα πρακτορείο, έναν πάροχο πληροφορικής ή έναν πάροχο φιλοξενίας. Ακριβώς οι μικρές φόρμες ξεχνιούνται, επειδή στήθηκαν κάποτε και από τότε απλώς λειτουργούν. Συχνά τα παραστατικά που ανέβηκαν παραμένουν χρόνια στον φάκελο uploads του διακομιστή ιστού, παρότι έχουν από καιρό επεξεργαστεί στο λογισμικό του γραφείου.

## Ποια δεδομένα διακυβεύονται

Τα φοροτεχνικά γραφεία επεξεργάζονται δεδομένα με πυκνότητα που σχεδόν κανένας άλλος κλάδος δεν φτάνει: IBAN και αναλύσεις λογαριασμών, φορολογικούς αριθμούς (Steuer-ID), αποδεικτικά εισοδήματος, καταστάσεις εταίρων και μισθοδοσίες. Τα μισθολογικά δεδομένα περιέχουν ενίοτε και ειδικές κατηγορίες βάσει του άρθρου 9 ΓΚΠΔ, για παράδειγμα το θρήσκευμα για τον εκκλησιαστικό φόρο (Kirchensteuer, γερμανικός φόρος που αφορά τα μέλη θρησκευτικών κοινοτήτων).

Προστίθεται το επαγγελματικό απόρρητο: οι φοροτεχνικοί υποχρεούνται σε εχεμύθεια, η μη εξουσιοδοτημένη αποκάλυψη μπορεί να είναι αξιόποινη βάσει του § 203 StGB (γερμανικός ποινικός κώδικας). Και πολλοί από τους θιγόμενους δεν είναι καν εντολείς σας, αλλά οι εργαζόμενοί τους. Σε περίπτωση διαρροής ο κύκλος των θιγόμενων διευρύνεται έτσι γρήγορα.

## Ασφάλεια πληροφορικής φοροτεχνικών: τι προκαλεί συγκεκριμένα ένα περιστατικό

Μια επίθεση σε ένα φοροτεχνικό γραφείο έχει τυπικές συνέπειες, που διαφέρουν από άλλους κλάδους:

- **Απάτη με πραγματικά δεδομένα:** Όποιος γνωρίζει τιμολόγια, τραπεζικούς λογαριασμούς και υπεύθυνους επικοινωνίας μπορεί να στείλει στους εντολείς απατηλά αληθοφανείς αιτήσεις πληρωμής.
- **Πίεση προθεσμιών:** Αν το portal μεταφόρτωσης βγει εκτός λειτουργίας στην περίοδο υποβολής, συσσωρεύονται παραστατικά και οι εντολείς καταφεύγουν σε ανασφαλείς διαδρομές, όπως μη κρυπτογραφημένα email.
- **Εμπιστοσύνη:** Οι εντολείς βασίζονται στο ότι τα οικονομικά τους παραμένουν εμπιστευτικά. Ένα περιστατικό για το οποίο μαθαίνουν από τον Τύπο βαραίνει περισσότερο από ένα για το οποίο ενημερώνει το ίδιο το γραφείο αντικειμενικά.

> **Δράστε άμεσα:**
> Αν το portal μεταφόρτωσής σας βρίσκεται σε διακομιστή του οποίου το επίπεδο patch της PHP δεν μπορεί να επιβεβαιώσει κανείς, αποσυνδέστε το από το δίκτυο μέχρι να τεκμηριωθούν το patch και η επανεκκίνηση. Έτσι συνιστά το BSI για διακομιστές που δεν μπορούν να ενημερωθούν άμεσα.

## Το κενό αρμοδιότητας ανάμεσα στον πάροχο πληροφορικής και το πρακτορείο

Ο πάροχος πληροφορικής φροντίζει το λογισμικό του γραφείου και τις θέσεις εργασίας, το πρακτορείο τον ιστότοπο, ο πάροχος φιλοξενίας τον διακομιστή. Το ποιος είναι αρμόδιος για την PHP στον διακομιστή ιστού σπάνια αναγράφεται ρητά στη σύμβαση. Διευκρινίστε το τώρα και ζητήστε να σας επιβεβαιωθεί το επίπεδο του πακέτου. Πώς θα αξιολογήσετε τα στοιχεία εξηγεί ο οδηγός [Έλεγχος έκδοσης PHP και επιπέδου patch](https://phpsos.de/el/php2shell/php-version-pruefen/).

Οι διορθωμένες εκδόσεις είναι PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Αν μια διεπαφή δείχνει παλαιότερο επίπεδο, μπορεί παρόλα αυτά να έχει εγκατασταθεί backport. Αντίστροφα, μια ενημέρωση χωρίς επανεκκίνηση των διεργασιών PHP δεν αρκεί.

## Τι πρέπει να γνωρίζουν τώρα οι εντολείς από εσάς

Οι εντολείς αντιδρούν στις ειδήσεις για ευπάθειες ασφαλείας με ανασφάλεια, ιδίως όταν ανεβάζουν τακτικά παραστατικά. Μια σύντομη, αντικειμενική ενημέρωση ενισχύει τότε την εμπιστοσύνη: ποιες διαδρομές ισχύουν αυτή τη στιγμή για την ανταλλαγή παραστατικών, ότι το γραφείο δεν αλλάζει ποτέ τραπεζικούς λογαριασμούς μέσω email και ότι οι ύποπτες αιτήσεις πληρωμής πρέπει να επιβεβαιώνονται τηλεφωνικά.

Για τους εντολείς-επιχειρήσεις είναι χρήσιμη μια ακόμη υπόδειξη: τα λογιστήρια μισθοδοσίας και τα τμήματα προσωπικού πρέπει να είναι ιδιαίτερα προσεκτικά σε αιτήματα για στοιχεία μισθών ή για αλλαγμένους τραπεζικούς λογαριασμούς εργαζομένων. Τέτοιες απόπειρες απάτης εκμεταλλεύονται συχνά γνώση που προέρχεται από γραφεία. Το αν ένα συγκεκριμένο περιστατικό απαιτεί επίσημη ενημέρωση βάσει ΓΚΠΔ, είναι ξεχωριστό ζήτημα που διευκρινίζετε με τον υπεύθυνο προστασίας δεδομένων σας.

## Πρώτες ώρες για τη διεύθυνση του γραφείου

1. Καταγράψτε όλα τα δικά σας συστήματα PHP που είναι προσβάσιμα από το διαδίκτυο, ακόμη και παλιές φόρμες και δοκιμαστικές εγκαταστάσεις.
2. Ζητήστε για κάθε σύστημα γραπτή επιβεβαίωση του επιπέδου patch και της επανεκκίνησης ή απενεργοποιήστε το προσωρινά.
3. Διασώστε τα logs από τις 20/10/2026 και ορίστε μια ασφαλή εναλλακτική διαδρομή για την ανταλλαγή παραστατικών.
4. Ενημερώστε νωρίς την ασφαλιστική εταιρεία και τον υπεύθυνο προστασίας δεδομένων. Τι απαιτεί η σύμβασή σας, εξηγεί η σελίδα για την [ασφάλιση κυβερνοκινδύνων](https://phpsos.de/el/compliance/cyberversicherung/).

## Πώς βοηθά συγκεκριμένα η PHP SOS;

- Καταγράφουμε όλα τα εξωτερικά προσβάσιμα συστήματα PHP του γραφείου και διευκρινίζουμε ποια βρίσκονται στον πάροχο λογισμικού και ποια σε εσάς.
- Στο πλαίσιο της [άμεσης βοήθειας για το PHP2Shell](https://phpsos.de/el/leistungen/php2shell-soforthilfe/) εφαρμόζουμε patch ή το αναθέτουμε, επανεκκινούμε όλα τα worker και τεκμηριώνουμε το αποτέλεσμα.
- Ελέγχουμε καταλόγους uploads και βάσεις δεδομένων για webshells και άγνωστες προσβάσεις.
- Τακτοποιούμε: ό,τι δεν χρειάζεται πια, το απενεργοποιούμε σε συνεννόηση μαζί σας αντί να συνεχίζουμε να του εφαρμόζουμε patch.
- Με ένα [συμβόλαιο συντήρησης ασφαλείας](https://phpsos.de/el/leistungen/security-wartungsvertrag/) η ευθύνη για την PHP παραμένει στη συνέχεια σαφώς ρυθμισμένη.


## Συχνές ερωτήσεις

**Επηρεάζεται η ανταλλαγή παραστατικών μέσω μεγάλων portal λογισμικού;**  
Τα portal που λειτουργεί ένας πάροχος λογισμικού στο δικό του data center βρίσκονται στην ευθύνη του. Για το επίπεδο patch τους είναι αρμόδιος ο πάροχος. Μπορεί να επηρεάζονται κυρίως συστήματα που λειτουργεί το γραφείο σας το ίδιο ή μέσω πρακτορείου, όπως φόρμες ιστοτόπου, σελίδες μεταφόρτωσης ή ένα δικό σας Nextcloud.

**Γιατί τα δεδομένα των φοροτεχνικών ενδιαφέρουν τόσο τους επιτιθέμενους;**  
Ένα φοροτεχνικό γραφείο συγκεντρώνει δεδομένα πολλών επιχειρήσεων και ιδιωτών: τραπεζικούς λογαριασμούς, εισοδήματα, φορολογικούς αριθμούς (Steuer-ID) και μισθολογικά δεδομένα εργαζομένων. Έτσι μπορούν να προετοιμαστούν πειστικά μηνύματα απάτης και κατάχρηση ταυτότητας. Ένα μόνο περιστατικό αφορά έτσι συχνά εκατοντάδες ανθρώπους που δεν ανέθεσαν ποτέ απευθείας εργασία στο γραφείο.

**Τι κάνουμε αν το portal πρέπει να τεθεί εκτός λειτουργίας εν μέσω της περιόδου υποβολής;**  
Ορίστε εκ των προτέρων μια εναλλακτική διαδρομή για την ανταλλαγή παραστατικών, για παράδειγμα κρυπτογραφημένη παράδοση μέσω ενός μη θιγόμενου συστήματος. Ενημερώστε τους εντολείς σύντομα και αντικειμενικά. Τις προθεσμίες και τις πιθανές παρατάσεις τις διευθετείτε όπως συνήθως από τεχνική άποψη· ένα portal που τέθηκε εκτός λειτουργίας δεν υποκαθιστά μια συνεννόηση.

**Αποζημιώνει η ασφάλιση κυβερνοκινδύνων αν δεν είχαμε εφαρμόσει patch;**  
Αυτό εξαρτάται από τους όρους και τις υποχρεώσεις του συμβολαίου σας. Ενημερώστε νωρίς την ασφαλιστική εταιρεία και τεκμηριώστε πότε λάβατε ποιο μέτρο. Δεσμευτική απάντηση δίνει μόνο η ασφαλιστική εταιρεία ή ο μεσίτης σας.

## Πηγές

- [php.net: Ανακοινώσεις ασφαλείας](https://www.php.net/)
- [php.net: Υποστηριζόμενες εκδόσεις](https://www.php.net/supported-versions.php)
- [BSI: Προειδοποιήσεις και συστάσεις](https://www.bsi.bund.de/)