Lühidalt: Kinnisvarahalduse IT-turvalisuses loevad eelkõige süsteemid, mille kaudu üürnikud ja omanikud andmeid esitavad: portaalid, kahjuteated ja korterikandideerimise vormid. Selgitage välja, millised neist töötavad teie enda serveris, laske PHP paik kinnitada ja hoidke valmis asenduskanal kiireloomuliste kahjuteadete jaoks.
Milliseid PHP süsteeme kinnisvarahaldurid ja maaklerid kasutavad
Paljud haldurid töötavad valdkonnatarkvaraga objektide, üüride ja kõrvalkulude jaoks. Väljapoole lisanduvad muud süsteemid: üürnike ja omanike portaalid dokumendihoidlaga, kahjuteadete veebivormid fotode üleslaadimisega, korterite pakkumised huviliste vormiga ja üürniku enesekirjeldusega, omanike koosolekute alad protokollide ja otsustega.
Osa neist töötab tarkvarapakkuja teenusena, osa teie enda veebisaidil, sageli WordPressis koos kinnisvarapluginatega. PHP2Shelli puhul on just see vahe otsustav.
Lisaks tulevad liidesed, mida igapäevaselt vaevalt keegi märkab: kinnisvarapakkumised kantakse valdkonnatarkvarast automaatselt veebisaidile ja kinnisvaraportaalidesse, mõõdunäidud tulevad mõõtmisteenuse pakkujatelt, käsitööliste tellimused jooksevad oma vormide kaudu. Iga selline ühendus vajab ligipääsuandmeid, mis on sageli veebiserveris salvestatud. Pärast intsidenti tuleb need kõik uuendada, muidu jääb ründajale tagauks naabersüsteemidesse.
Milliseid andmeid üürnikud ja omanikud usaldavad
Kinnisvarahalduses asuvad üürilepingud, otsekorralduste pangaühendused, kõrvalkulude arvestused, mõõdunäidud, kirjavahetus puuduste ja vaidluste kohta ning fotod korteritest. Huviliste puhul lisanduvad enesekirjeldused koos sissetulekutõendite, isikut tõendavate dokumentide koopiate ja krediidivõimekuse päringutega. Omanike portaalides leidub otsuseid, reserve ja osaliselt teavet lukustussüsteemide kohta.
Ründajatele on need andmed huvitavad kahel põhjusel: need võimaldavad identiteedi kuritarvitamist ja annavad kõik, mida on vaja usutavate pettuskirjade jaoks, näiteks väidetav uus pangaühendus üüri jaoks. Üleslaaditud failid on lisaks tüüpiline ründetee. Kuidas üleslaadimisi turvaliselt teostada, selgitab juhend Failide üleslaadimine PHP-s.
Kinnisvarahaldus ja IT-turvalisus: mida tähendab intsident
Kui portaal kukub välja, puudub kanal kiireloomuliste teadete jaoks, nagu veekahjud või kütte rike. See tekitab survet telefonile ja valveteenistusele, kuid on planeeritav. Ohtlikum on märkamatu rünne:
- Üürnikud saavad võltsitud maksenõudeid võõra IBAN-iga, mis nimetavad päris lepinguandmeid.
- Korterikandideerijate enesekirjeldused kopeeritakse ja kasutatakse pettuseks.
- Omanikud kaotavad usalduse halduri vastu, mis tõuseb teemaks järgmisel koosolekul.
Kui on viiteid andmelekkele, võib olla vajalik teavitus järelevalveasutusele IKÜM-i 72-tunnise reegli järgi. Hinnangu annate koos oma andmekaitsespetsialistiga.
Kui keegi ei kinnita, et PHP teie portaali serveris on paigatud ja uuesti käivitatud, võtke portaal võrgust maha. Suunake kahjuteated ajutiselt telefonile ja valveteenistusele.
Tüüpiline vastutuslünk
| Süsteem | Töö | Kes PHP-d paikab |
|---|---|---|
| Valdkonnatarkvara büroos | IT-hooldaja | enamasti ei ole mõjutatud |
| Portaal pakkuja teenusena | Tarkvarapakkuja | Pakkuja, nõudke kinnitust |
| Portaal oma serveris | Veebimajutaja või teenusepakkuja | lepingu järgi, sageli selgitamata |
| Veebisait korteripakkumistega | Agentuur ja veebimajutaja | Veebimajutaja veebimajutuse puhul |
Lisaks puudub väiksemates halduses keegi, kellel on tervikpilt. Agentuur tunneb veebisaiti, IT-hooldaja büroo arvuteid, tarkvarapakkuja oma portaali.
Omanikud, nõukogud ja üürnikud õigesti kaasata
Korteriühistute (WEG) halduses ei ole omanikud ja halduse nõukogud mitte ainult puudutatud, vaid ka tellijad. Nad ootavad õigusega, et haldur annab intsidendi korral avatult ja tõendatavalt aru. Lühike aruanne põhjuse, mõjutatud süsteemide, võetud meetmete ja lahtise seisuga on parem kui vaikimine järgmise koosolekuni.
Üürnikud vajavad eelkõige praktilisi märkusi: milline teavitustee praegu kehtib, et pangaühendused ei muutu e-posti teel ja kellele nad saavad kahtlasi sõnumeid edasi anda. Kooskõlastatud tekstid takistavad, et majahoidja, ametnikud ja raamatupidamine annavad erinevaid vastuseid.
Esimesed tunnid juhatusele
- Tehke loend kõigist portaalidest ja vormidest ning selgitage igaühe kohta, kus see töötab.
- Laske paigatud seis versioonile 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või backport ja taaskäivitus kirjalikult kinnitada.
- Kindlustage logid alates 20.10.2026, laske üleslaadimiskaustu tundmatute failide suhtes kontrollida.
- Kontrollige portaalide töötajakontosid ja kaitske need pärast puhastamist kaheastmelise autentimisega.
- Juhtige üürnike tähelepanu ennetavalt sellele, et pangaühendused ei muutu e-posti teel.
Kuidas PHP SOS konkreetselt aitab?
- Kaardistame teie portaalid ja vormid ning selgitame koos pakkuja, agentuuri ja veebimajutajaga välja vastutuse.
- Kontrollime paigatud seisu ja taaskäivitust ning uurime üleslaadimiskaustu ja andmebaase veebishellide suhtes.
- Nakatumise korral puhastame häkitud veebisaitide hädaabi raames ja dokumenteerime intsidendi andmekaitsespetsialistile ja kindlustajale.
- Turvahoolduslepinguga püsib PHP teie serverites pidevalt ajakohane ja jälgitud.
Korduma kippuvad küsimused
Meie üürnikeportaal on pakkuja tarkvara. Kas me oleme mõjutatud?
Kui portaal töötab teenusena pakkuja juures, vastutab tema serveri ja PHP eest. Küsige seal kirjalikult seisu kohta. Kui sama tarkvara töötab teie enda serveris või teie veebimajutaja juures, lasub paik ja taaskäivitus teil või teie teenusepakkujal.
Millised üürniku enesekirjelduse andmed on eriti tundlikud?
Sissetulekutõendid, isikut tõendavate dokumentide koopiad, krediidivõimekuse päringud ja andmed tööandja kohta sobivad identiteedi kuritarvitamiseks ja pettuseks. Neid tohib säilitada ainult nii kaua, kui on vaja üürile andmiseks. Kui kaua see on, selgitate välja oma andmekaitsespetsialistiga.
Kuidas takistada võltsitud maksenõudeid üürnikele?
Teatage üürnikele, et teie pangaühendus ei muutu e-posti ega portaalisõnumi teel, ilma et te seda teist teed pidi kinnitaksite. Pärast intsidenti peaksite üürnikke aktiivselt hoiatama. Tehniliselt aitavad portaalide karastamine ja kaheastmeline autentimine töötajate kontodele.