Lühidalt: Maksunõustajate IT-turvalisuses on otsustav, milliseid süsteeme büroo ise haldab. Tarkvaraarendajate suurportaalid on nende vastutusel, oma veebisait, üleslaadimisvormid ja andmeruumid aga teie omad. Need kuuluvad nüüd paigatud PHP peale, koos taaskäivituse ja kirjaliku tõendiga.
Millised süsteemid maksubüroodes PHP peal töötavad
Finantsarvestuse ja palga jaoks kasutab enamik büroosid spetsialiseeritud tarkvara ja selle portaale. Selle kõrvale tekib aastatega oma lahendusi: üleslaadimisvorm veebisaidil dokumentide jaoks, tulumaksu küsimustikud, leht klientide uute töötajate jaoks palga põhiandmete esitamiseks, kandideerimisportaal või ise hallatav Nextcloud suurte failide jaoks.
Need süsteemid töötavad peaaegu alati PHP peal ja neid hooldab agentuur, süsteemimaja või veebimajutaja. Just väikesed vormid vajuvad unustusse, sest need seadistati ükskord ja töötavad sestsaadik lihtsalt. Sageli seisavad üleslaaditud dokumendid siis aastaid veebiserveri üleslaadimiskaustas, kuigi need on büroo tarkvaras ammu töödeldud.
Millised andmed on ohus
Maksubürood töötlevad andmeid tihedusega, mida vaevalt mõni teine tegevusala saavutab: IBAN ja kontoväljavõtted, maksukohustuslase tunnused (Steuer-ID), sissetulekutõendid, osanike nimekirjad ja palgaarvestused. Palgaandmed sisaldavad vahel ka eriliiki andmeid IKÜM art 9 järgi, näiteks usulist kuuluvust kirikumaksu jaoks Saksamaal.
Lisaks tuleb ametisaladus: maksunõustajad on kohustatud vaikima ning loata avaldamine võib olla karistatav § 203 StGB (Saksa karistusseadustik) järgi. Ja paljud puudutatud inimesed ei ole üldse teie kliendid, vaid nende töötajad. Lekke korral kasvab puudutatute ring seega kiiresti.
Maksunõustajate IT-turvalisus: mida intsident konkreetselt kaasa toob
Rünnakul maksubüroole on tüüpilised tagajärjed, mis erinevad teistest tegevusaladest:
- Pettus päris andmetega: Kes tunneb arveid, pangaühendusi ja kontaktisikuid, saab saata klientidele petlikult ehtsaid maksenõudeid.
- Tähtaja surve: Kui üleslaadimisportaal esitamisperioodil kukub välja, kuhjuvad dokumendid ja kliendid hakkavad kasutama ebaturvalisi teid, näiteks krüpteerimata e-kirju.
- Usaldus: Kliendid loodavad, et nende rahandus jääb konfidentsiaalseks. Intsident, millest nad loevad ajakirjandusest, kaalub raskemini kui see, millest büroo ise asjalikult teavitab.
Kui teie üleslaadimisportaal asub serveris, mille PHP paigatud seisu ei oska keegi kinnitada, võtke see võrgust maha, kuni paik ja taaskäivitus on tõendatud. Nii soovitab BSI (Saksamaa föderaalne infoturbeamet) serverite puhul, mida ei saa kohe uuendada.
Süsteemimaja ja agentuuri vaheline vastutuslünk
Süsteemimaja hooldab büroo tarkvara ja töökohti, agentuur veebisaiti, veebimajutaja serverit. Kes vastutab veebiserveri PHP eest, on lepingus harva sõnaselgelt kirjas. Selgitage see nüüd välja ja laske paketi seis kinnitada. Kuidas andmeid hinnata, selgitab juhend PHP versiooni ja paigatud seisu kontroll.
Parandatud versioonid on PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Kui kasutajaliides näitab vanemat seisu, võib backport siiski olla paigaldatud. Teisalt ei piisa uuendusest ilma PHP protsesside taaskäivituseta.
Mida kliendid peaksid nüüd teadma
Kliendid reageerivad turvaaukude uudistele ebakindlusega, eriti kui nad laadivad korrapäraselt dokumente üles. Lühike, asjalik teave tekitab siis usaldust: millised teed dokumentide vahetuseks praegu kehtivad, et büroo ei muuda pangaühendusi kunagi e-posti teel ja et kahtlaste maksenõuete kohta tuleks telefoni teel järele küsida.
Ettevõtetest klientidele on mõistlik veel üks märkus: palgabürood ja personaliosakonnad peaksid olema eriti tähelepanelikud, kui töötajate palgaandmete või muudetud pangaühenduste kohta tehakse päringuid. Sellised pettusekatsed kasutavad meelsasti büroodest pärit teadmisi. Kas konkreetne intsident nõuab IKÜM-i järgi ametlikku teavitamist, on eraldi küsimus, mille selgitate välja oma andmekaitsespetsialistiga.
Esimesed tunnid büroo juhtkonnale
- Tehke loend kõigist oma internetist kättesaadavatest PHP süsteemidest, ka vanadest vormidest ja testpaigaldustest.
- Laske iga süsteemi paigatud seis ja taaskäivitus kirjalikult kinnitada või lülitage see ajutiselt välja.
- Kindlustage logid alates 20.10.2026 ja määrake turvaline asenduslahendus dokumentide vahetuseks.
- Teavitage kindlustajat ja andmekaitsespetsialisti varakult. Mida teie leping nõuab, selgitab leht küberkindlustusest.
Kuidas PHP SOS konkreetselt aitab?
- Kaardistame büroo kõik väljastpoolt kättesaadavad PHP süsteemid ja selgitame välja, millised asuvad tarkvaraarendaja ja millised teie juures.
- PHP2Shelli kohese abi raames paigame või laseme paigata, käivitame kõik tööprotsessid uuesti ja tõendame tulemuse.
- Kontrollime üleslaadimiskaustu ja andmebaase veebishellide ja tundmatute ligipääsude suhtes.
- Teeme korda: mida enam ei vajata, lülitame kokkuleppel välja, selle asemel et seda edasi paigata.
- Turvahoolduslepinguga jääb vastutus PHP eest pärast seda selgelt reguleeritud.
Korduma kippuvad küsimused
Kas dokumentide vahetus suurte tarkvaraportaalide kaudu on mõjutatud?
Portaalid, mida tarkvaraarendaja haldab oma andmekeskuses, on tema vastutusel. Nende paigatud seisu eest vastutab pakkuja. Mõjutatud võivad olla eelkõige süsteemid, mida teie büroo haldab ise või agentuuri kaudu, näiteks veebisaidi vormid, üleslaadimislehed või oma Nextcloud.
Miks on maksunõustajate andmed ründajatele nii huvitavad?
Maksubüroo koondab paljude ettevõtete ja eraisikute andmeid: pangaühendusi, sissetulekuid, maksukohustuslase tunnuseid ja töötajate palgaandmeid. Nendega saab ette valmistada usutavaid pettuskirju ja identiteedi kuritarvitamist. Üks ainus intsident puudutab nii sageli sadu inimesi, kes pole kunagi otse büroo teenuseid tellinud.
Mida teha, kui portaal peab esitamisperioodi keskel võrgust maha minema?
Määrake ette asenduslahendus dokumentide vahetuseks, näiteks krüpteeritud üleandmine mõjutamata süsteemi kaudu. Teavitage kliente lühidalt ja asjalikult. Tähtaegu ja võimalikke tähtaja pikendusi selgitate nagu harilikult erialaselt; võrgust maha võetud portaal ei asenda kooskõlastust.
Kas küberkindlustus maksab, kui olime paigata?
See sõltub teie lepingu tingimustest ja kohustustest. Teavitage kindlustajat varakult ja dokumenteerige, millal millised meetmed võtsite. Siduva vastuse annab ainult kindlustaja või teie maakler.