En resumen: para la seguridad informática de los asesores fiscales es decisivo qué sistemas opera el propio despacho. Los grandes portales de los proveedores de software son responsabilidad de estos; el sitio web propio, los formularios de carga y las salas de datos, en cambio, son responsabilidad suya. Estos deben pasar ahora a un PHP parcheado, con reinicio y justificante por escrito.
Qué sistemas de las asesorías fiscales funcionan con PHP
Para la contabilidad financiera y las nóminas, la mayoría de los despachos utilizan software especializado y sus portales. Además, con los años surgen soluciones propias: un formulario de carga en el sitio web para los justificantes, cuestionarios del impuesto sobre la renta, una página para que los nuevos empleados de los clientes registren los datos maestros de nómina, un portal de candidaturas o una Nextcloud propia para archivos grandes.
Estos sistemas funcionan casi siempre con PHP y los atiende una agencia, una empresa de sistemas o un proveedor de hosting. Precisamente los formularios pequeños caen en el olvido, porque se configuraron una vez y desde entonces simplemente funcionan. A menudo, los justificantes subidos permanecen entonces durante años en la carpeta de cargas del servidor web, aunque hace tiempo que se procesaron en el software del despacho.
Qué datos están en juego
Las asesorías fiscales tratan datos con una densidad que apenas alcanza otro sector: IBAN y extractos bancarios, identificadores fiscales, justificantes de ingresos, listas de socios y nóminas. Los datos salariales contienen a veces también categorías especiales del art. 9 del RGPD, por ejemplo la pertenencia religiosa para el impuesto eclesiástico.
A ello se suma el secreto profesional: los asesores fiscales están obligados a la confidencialidad, y la revelación no autorizada puede ser punible según el § 203 del Código Penal alemán (StGB). Y muchos afectados ni siquiera son sus clientes, sino los empleados de estos. En una fuga, el círculo de afectados crece así con rapidez.
Seguridad informática del asesor fiscal: qué desencadena un incidente en concreto
Un ataque a una asesoría fiscal tiene consecuencias típicas que se diferencian de las de otros sectores:
- Fraude con datos reales: quien conoce facturas, cuentas bancarias e interlocutores puede enviar a los clientes requerimientos de pago de apariencia muy auténtica.
- Presión de los plazos: si el portal de cargas se cae en el periodo de presentación, los justificantes se acumulan y los clientes recurren a vías poco seguras, como el correo sin cifrar.
- Confianza: los clientes confían en que sus finanzas se mantengan confidenciales. Un incidente del que se enteran por la prensa pesa más que uno sobre el que el propio despacho informa con objetividad.
Si su portal de cargas está en un servidor cuyo estado de parcheo de PHP nadie puede confirmar, desconéctelo de la red hasta que se acrediten el parche y el reinicio. Así lo recomienda el BSI (Oficina Federal alemana para la Seguridad de la Información) para los servidores que no pueden actualizarse de inmediato.
El hueco de responsabilidades entre la empresa de sistemas y la agencia
La empresa de sistemas atiende el software del despacho y los puestos de trabajo, la agencia el sitio web y el proveedor de hosting el servidor. Quién es responsable de PHP en el servidor web rara vez consta de forma expresa en el contrato. Aclárelo ahora y pida que le confirmen el estado del paquete. Cómo interpretar los datos se explica en la guía Comprobar la versión de PHP y el estado del parche.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si una interfaz muestra un estado anterior, aun así puede haberse aplicado un backport. A la inversa, una actualización sin reinicio de los procesos de PHP no basta.
Lo que los clientes deberían saber ahora de usted
Los clientes reaccionan con inseguridad a las noticias sobre vulnerabilidades, sobre todo si suben justificantes con regularidad. Una información breve y objetiva genera entonces confianza: qué vías rigen actualmente para el intercambio de justificantes, que el despacho nunca modifica cuentas bancarias por correo electrónico y que los requerimientos de pago sospechosos deben confirmarse por teléfono.
Para los clientes empresariales conviene otra indicación: las oficinas de nóminas y los departamentos de personal deberían prestar especial atención ante solicitudes sobre datos salariales o cambios de cuenta bancaria de los empleados. Estos intentos de fraude utilizan con gusto conocimientos procedentes de despachos. Si un incidente concreto exige una comunicación formal conforme al RGPD es otra cuestión, que debe aclarar con su delegado de protección de datos.
Primeras horas para la dirección del despacho
- Listar todos los sistemas PHP propios accesibles desde Internet, también los formularios antiguos y las instalaciones de prueba.
- Hacer que se confirme por escrito, para cada sistema, el estado del parche y el reinicio, o desconectarlo temporalmente.
- Conservar los registros desde el 20/10/2026 y fijar una vía alternativa segura para el intercambio de justificantes.
- Informar pronto a la aseguradora y al delegado de protección de datos. Lo que exige su contrato se explica en la página sobre el ciberseguro.
¿Cómo ayuda PHP SOS en concreto?
- Registramos todos los sistemas PHP del despacho accesibles desde el exterior y aclaramos cuáles están en el proveedor de software y cuáles en su ámbito.
- En el marco de la ayuda inmediata PHP2Shell, parcheamos o hacemos parchear, reiniciamos todos los workers y acreditamos el resultado.
- Examinamos los directorios de cargas y las bases de datos en busca de webshells y accesos desconocidos.
- Ordenamos: lo que ya no se necesita lo desactivamos de común acuerdo, en lugar de seguir parcheándolo.
- Con un contrato de mantenimiento de seguridad, la responsabilidad sobre PHP queda después claramente regulada.
Preguntas frecuentes
¿Está afectado el intercambio de justificantes a través de los grandes portales de software?
Los portales que un proveedor de software opera en su propio centro de datos son responsabilidad de este. De su estado de parcheo se encarga el proveedor. Pueden estar afectados sobre todo los sistemas que su despacho opera por sí mismo o a través de una agencia, como formularios del sitio web, páginas de carga o una Nextcloud propia.
¿Por qué son tan interesantes para los atacantes los datos de los asesores fiscales?
Una asesoría fiscal concentra datos de muchas empresas y particulares: cuentas bancarias, ingresos, identificadores fiscales y datos salariales de trabajadores. Con ellos pueden prepararse correos fraudulentos creíbles y suplantaciones de identidad. Por eso, un único incidente suele afectar a cientos de personas que nunca encargaron nada directamente al despacho.
¿Qué hacer si el portal tiene que desconectarse en pleno periodo de presentación?
Fije de antemano una vía alternativa para el intercambio de justificantes, por ejemplo una entrega cifrada a través de un sistema no afectado. Informe a los clientes de forma breve y objetiva. Los plazos y las posibles prórrogas se aclaran como siempre desde el punto de vista técnico; un portal desconectado no sustituye a un acuerdo al respecto.
¿Paga el ciberseguro si no estábamos parcheados?
Depende de las condiciones y de las obligaciones de su contrato. Informe pronto a la aseguradora y documente cuándo tomó cada medida. Solo la aseguradora o su corredor pueden dar una respuesta vinculante.