En resumen: para la seguridad informática de una administración de fincas cuentan sobre todo los sistemas a través de los cuales inquilinos y propietarios envían datos: portales, avisos de daños y formularios de solicitud de vivienda. Aclare cuáles funcionan en su propio servidor, haga que le confirmen el parche de PHP y tenga lista una vía alternativa para los avisos urgentes de daños.
Qué sistemas PHP utilizan las administraciones de fincas y los agentes inmobiliarios
Muchas administraciones trabajan con un software sectorial para inmuebles, alquileres y gastos de comunidad. Hacia el exterior se añaden otros sistemas: portales de inquilinos y de propietarios con almacén de documentos, formularios en línea para avisos de daños con carga de fotos, ofertas de vivienda con formulario para interesados y ficha del inquilino, y áreas para las juntas de propietarios con actas y acuerdos.
Una parte de ello se opera como servicio del proveedor de software; otra funciona en la propia web, a menudo WordPress con plugins inmobiliarios. Para PHP2Shell, justo esta distinción es decisiva.
A ello se suman interfaces que en el día a día casi nadie nota: las ofertas inmobiliarias se transfieren automáticamente del software sectorial a la web y a los portales inmobiliarios, las lecturas de contadores llegan de empresas de medición, los encargos a operarios circulan por formularios propios. Cada una de estas conexiones necesita credenciales que a menudo están guardadas en el servidor web. Tras un incidente hay que renovarlas todas; de lo contrario, al atacante le queda una puerta trasera hacia sistemas contiguos.
Qué datos confían inquilinos y propietarios
En una administración de fincas hay contratos de alquiler, cuentas bancarias para domiciliaciones, liquidaciones de gastos, lecturas de contadores, correspondencia sobre defectos y disputas, y fotos del interior de viviendas. En el caso de los interesados se añaden fichas con justificantes de ingresos, copias de documentos de identidad e informes de solvencia. En los portales de propietarios hay acuerdos, fondos de reserva y, en parte, información sobre sistemas de cierre.
Para los atacantes estos datos son interesantes por dos razones: permiten la suplantación de identidad y aportan todo lo que se necesita para correos fraudulentos creíbles, por ejemplo una supuesta nueva cuenta bancaria para el alquiler. Además, los archivos subidos son una vía de ataque típica. Cómo implementar las cargas de forma segura se explica en la guía Cargas de archivos en PHP.
Administración de fincas y seguridad informática: qué significa un incidente
Si el portal se cae, falta el canal para avisos urgentes como daños por agua o averías de calefacción. Eso genera presión sobre el teléfono y el servicio de urgencias, pero es planificable. Más peligroso es un ataque que pasa desapercibido:
- Los inquilinos reciben requerimientos de pago falsificados con un IBAN ajeno, que mencionan datos reales del contrato.
- Las fichas de los solicitantes de vivienda se copian y se utilizan para fraudes.
- Los propietarios pierden la confianza en la administración, lo que se convierte en tema en la próxima junta.
Si hay indicios de una fuga de datos, puede ser necesaria una notificación a la autoridad de control conforme a la regla de las 72 horas del RGPD. La valoración la hace usted con su delegado de protección de datos.
Si nadie confirma que PHP está parcheado y reiniciado en el servidor de su portal, desconecte el portal de la red. Desvíe temporalmente los avisos de daños al teléfono y al servicio de urgencias.
El hueco de responsabilidades típico
| Sistema | Operación | Quién parchea PHP |
|---|---|---|
| Software sectorial en la oficina | Responsable de TI | normalmente no afectado |
| Portal como servicio del proveedor | Proveedor de software | El proveedor; solicitar confirmación |
| Portal en servidor propio | Proveedor de hosting o prestador de servicios | Según contrato, a menudo sin aclarar |
| Sitio web con ofertas de vivienda | Agencia y proveedor de hosting | El proveedor de hosting, en hosting web |
A ello se suma que, en las administraciones más pequeñas, nadie tiene la visión de conjunto. La agencia conoce la web, el responsable de TI los PC de la oficina y el proveedor de software su portal.
Implicar correctamente a propietarios, consejos y inquilinos
En la administración de comunidades de propietarios (WEG), los propietarios y los consejos de administración no son solo afectados, sino también clientes. Esperan con razón que la administración informe con franqueza y de forma demostrable en caso de incidente. Un informe breve con la causa, los sistemas afectados, las medidas adoptadas y el estado pendiente es mejor que el silencio hasta la próxima junta.
Los inquilinos necesitan sobre todo indicaciones prácticas: qué vía de aviso rige en este momento, que las cuentas bancarias no cambian por correo y a quién pueden reenviar los mensajes sospechosos. Unos textos coordinados evitan que el conserje, la tramitación y la contabilidad den informaciones distintas.
Las primeras horas para la gerencia
- Listar todos los portales y formularios y aclarar para cada uno dónde funciona.
- Hacer confirmar por escrito el estado del parche a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o el backport, y el reinicio.
- Conservar los registros desde el 20/10/2026 y hacer revisar los directorios de cargas en busca de archivos desconocidos.
- Revisar las cuentas de los empleados en los portales y, tras la limpieza, protegerlas con autenticación en dos factores.
- Advertir a los inquilinos, por precaución, de que las cuentas bancarias no cambian por correo.
¿Cómo ayuda PHP SOS en concreto?
- Registramos sus portales y formularios y aclaramos las responsabilidades con el proveedor, la agencia y el proveedor de hosting.
- Comprobamos el estado del parche y el reinicio y examinamos las carpetas de cargas y las bases de datos en busca de webshells.
- Si hay una infección, limpiamos en el marco de la ayuda de emergencia para webs hackeadas y documentamos el incidente para el delegado de protección de datos y la aseguradora.
- Con un contrato de mantenimiento de seguridad, PHP se mantiene actualizado y vigilado de forma permanente en sus servidores.
Preguntas frecuentes
Nuestro portal de inquilinos es un software de un proveedor. ¿Estamos afectados?
Si el portal funciona como servicio en el proveedor, este es responsable del servidor y de PHP. Pregunte allí por escrito por el estado. Si el mismo software funciona en su propio servidor o en su proveedor de hosting, el parche y el reinicio corresponden a usted o a su prestador de servicios.
¿Qué datos de la ficha del inquilino son especialmente delicados?
Los justificantes de ingresos, las copias de documentos de identidad, los informes de solvencia y los datos del empleador se prestan a la suplantación de identidad y al fraude. Solo deberían conservarse durante el tiempo necesario para el alquiler. Cuánto tiempo es debe aclararlo con su delegado de protección de datos.
¿Cómo evitamos los requerimientos de pago falsificados dirigidos a los inquilinos?
Comunique a los inquilinos que su cuenta bancaria no cambia por correo ni por mensaje del portal sin que usted lo confirme por una segunda vía. Tras un incidente debería advertir activamente a los inquilinos. En lo técnico ayudan el refuerzo de los portales y la autenticación en dos factores para las cuentas de los empleados.