# Tietoturva isännöintitoimistoille ja kiinteistöyrityksille

> Vuokralaisportaali, vikailmoitus, vuokrahakemus: näin isännöitsijät suojaavat PHP-järjestelmänsä PHP2Shellilta ja vuokralaiset huijauksilta.

Lähde: https://phpsos.de/fi/branchen/immobilien-hausverwaltung/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** Isännöintitoimiston tietoturvassa ratkaisevia ovat ennen kaikkea järjestelmät, joiden kautta vuokralaiset ja omistajat toimittavat tietoja: portaalit, vikailmoitukset ja asuntohakemuslomakkeet. Selvittäkää, mitkä niistä toimivat omalla palvelimellanne, pyytäkää PHP-korjaus vahvistettuna ja pitäkää vaihtoehtoinen reitti kiireellisille vikailmoituksille valmiina.

## Mitä PHP-järjestelmiä isännöitsijät ja kiinteistönvälittäjät käyttävät

Monet toimistot työskentelevät toimialaohjelmistolla kohteille, vuokrille ja kulutuskustannuksille. Ulospäin mukaan tulevat muut järjestelmät: vuokralais- ja omistajaportaalit asiakirjatallennuksineen, verkkolomakkeet vikailmoituksille kuvalatauksineen, asuntotarjonta kiinnostuneiden lomakkeineen ja vuokralaisen esitiedot, omistajakokousten alueet pöytäkirjoineen ja päätöksineen.

Osa niistä toimii ohjelmistotoimittajan palveluna, osa omalla verkkosivulla, usein WordPress ja kiinteistölisäosat. PHP2Shellin kannalta juuri tämä ero on ratkaiseva.

Lisäksi on rajapintoja, joita arjessa tuskin kukaan huomaa: kiinteistötarjonta siirtyy automaattisesti toimialaohjelmistosta verkkosivulle ja kiinteistöportaaleihin, mittarilukemat tulevat mittauspalveluilta, käsityöläistilaukset kulkevat omien lomakkeiden kautta. Jokainen näistä yhteyksistä vaatii tunnuksia, jotka on usein tallennettu verkkopalvelimelle. Tapauksen jälkeen ne kaikki on uusittava, muuten hyökkääjälle jää takaovi viereisiin järjestelmiin.

## Mitä tietoja vuokralaiset ja omistajat uskovat teille

Isännöintitoimistossa on vuokrasopimuksia, tilinumeroita suoraveloitusta varten, kulutuskustannuslaskelmia, mittarilukemia, kirjeenvaihtoa vioista ja riidoista sekä kuvia asunnoista. Kiinnostuneilta tulee vuokralaisen esitietoja tulotodistuksineen, henkilökortin kopioineen ja luottotietoineen. Omistajaportaaleissa on päätöksiä, rahastoja ja osin tietoja lukitusjärjestelmistä.

Hyökkääjille nämä tiedot ovat kiinnostavia kahdesta syystä: ne mahdollistavat henkilöllisyyden väärinkäytön, ja ne antavat kaiken, mitä uskottaviin petossähköposteihin tarvitaan, esimerkiksi väitetyn uuden tilinumeron vuokralle. Ladatut tiedostot ovat lisäksi tyypillinen hyökkäysreitti. Miten latauksia toteutetaan turvallisesti, selittää opas [Tiedostolataukset PHP:ssä](https://phpsos.de/fi/ratgeber/datei-upload-sicher/).

## Isännöinti ja tietoturva: mitä tapaus tarkoittaa

Jos portaali kaatuu, kiireellisille ilmoituksille, kuten vesivahingoille tai lämmityksen katkoksille, ei ole kanavaa. Se aiheuttaa painetta puhelimeen ja päivystykseen, mutta on suunniteltavissa. Vaarallisempi on huomaamatta jäänyt hyökkäys:

- Vuokralaiset saavat väärennettyjä maksupyyntöjä vieraalla IBAN-tilinumerolla, jotka mainitsevat todellisia sopimustietoja.
- Asuntohakijoiden esitiedot kopioidaan ja käytetään petoksiin.
- Omistajat menettävät luottamuksensa isännöintiin, mikä nousee puheenaiheeksi seuraavassa kokouksessa.

Jos on viitteitä tietovuodosta, ilmoitus valvontaviranomaiselle voi olla tarpeen [GDPR:n 72 tunnin säännön](https://phpsos.de/fi/compliance/dsgvo-meldepflicht-72-stunden/) mukaan. Arvion teette tietosuojavastaavanne kanssa.

> **Toimi heti:**
> Jos kukaan ei vahvista, että portaalinne palvelimen PHP on korjattu ja käynnistetty uudelleen, ottakaa portaali pois verkosta. Ohjatkaa vikailmoitukset tilapäisesti puhelimeen ja päivystykseen.

## Tyypillinen vastuuaukko

| Järjestelmä | Käyttö | Kuka korjaa PHP:n |
|---|---|---|
| Toimialaohjelmisto toimistossa | IT-ylläpitäjä | yleensä ei haavoittuva |
| Portaali toimittajan palveluna | Ohjelmistotoimittaja | Toimittaja, pyytäkää vahvistus |
| Portaali omalla palvelimella | Hosting-yritys tai palveluntarjoaja | sopimuksen mukaan, usein selvittämättä |
| Verkkosivu asuntotarjontoineen | Toimisto ja hosting-yritys | Hosting-yritys verkkohostingissa |

Lisäksi pienemmissä toimistoissa kenelläkään ei ole kokonaiskuvaa. Toimisto tuntee verkkosivun, IT-ylläpitäjä toimiston tietokoneet, ohjelmistotoimittaja oman portaalinsa.

## Omistajat, hallitukset ja vuokralaiset mukaan oikein

Asunto-osakeyhtiöiden ja omistajayhteisöjen (WEG) isännöinnissä omistajat ja hallitukset eivät ole vain asianosaisia vaan myös toimeksiantajia. He odottavat aiheellisesti, että isännöinti raportoi tapauksesta avoimesti ja todennettavasti. Lyhyt raportti syystä, vaikuttaneista järjestelmistä, tehdyistä toimista ja avoimesta tilanteesta on parempi kuin vaikeneminen seuraavaan kokoukseen.

Vuokralaiset tarvitsevat ennen kaikkea käytännön ohjeita: mikä ilmoitusreitti on juuri nyt voimassa, ettei tilinumero muutu sähköpostilla ja kenelle he voivat välittää epäilyttäviä viestejä. Yhteensovitetut tekstit estävät sen, että talonmies, käsittelijät ja kirjanpito antavat erilaisia tietoja.

## Ensimmäiset tunnit toimitusjohtajalle

1. Listatkaa kaikki portaalit ja lomakkeet ja selvittäkää kustakin, missä se toimii.
2. Pyytäkää korjaustila versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai backport ja uudelleenkäynnistys kirjallisena vahvistuksena.
3. Varmistakaa lokit 20.10.2026 alkaen, teettäkää lataushakemistojen tarkistus tuntemattomien tiedostojen varalta.
4. Tarkistakaa portaalien työntekijätilit ja turvatkaa ne puhdistuksen jälkeen [kaksivaiheisella tunnistautumisella](https://phpsos.de/fi/ratgeber/zwei-faktor-admin/).
5. Muistuttakaa vuokralaisia ennakoivasti siitä, ettei tilinumero muutu sähköpostilla.

## Miten PHP SOS auttaa konkreettisesti?

- Kartoitamme portaalinne ja lomakkeenne ja selvitämme toimittajan, toimiston ja hosting-yrityksen kanssa vastuut.
- Tarkistamme korjaustilan ja uudelleenkäynnistyksen sekä tutkimme lataushakemistot ja tietokannat web shellien varalta.
- Saastumistapauksessa puhdistamme osana [hakkeroitujen verkkosivujen hätäapua](https://phpsos.de/fi/leistungen/website-gehackt-notfallhilfe/) ja dokumentoimme tapauksen tietosuojavastaavalle ja vakuutusyhtiölle.
- [Tietoturvahuoltosopimuksella](https://phpsos.de/fi/leistungen/security-wartungsvertrag/) PHP pysyy palvelimillanne jatkuvasti ajan tasalla ja valvottuna.


## Usein kysytyt kysymykset

**Vuokralaisportaalimme on palveluntarjoajan ohjelmisto. Koskeeko tämä meitä?**  
Jos portaali toimii palveluna toimittajalla, hän vastaa palvelimesta ja PHP:stä. Kysykää sieltä kirjallisesti tilannetta. Jos sama ohjelmisto toimii omalla palvelimellanne tai hosting-yrityksellänne, korjaus ja uudelleenkäynnistys ovat teidän tai palveluntarjoajanne vastuulla.

**Mitkä vuokralaisen esitiedot ovat erityisen arkaluonteisia?**  
Tulotodistukset, henkilökortin kopiot, luottotiedot ja työnantajatiedot soveltuvat henkilöllisyyden väärinkäyttöön ja petoksiin. Niitä tulisi säilyttää vain niin kauan kuin vuokraus sitä edellyttää. Kuinka kauan, selvitätte tietosuojavastaavanne kanssa.

**Miten estämme väärennetyt maksupyynnöt vuokralaisille?**  
Kertokaa vuokralaisille, ettei tilinumeronne muutu sähköpostilla tai portaaliviestillä ilman, että vahvistatte sen toista kautta. Tapauksen jälkeen vuokralaisia kannattaa varoittaa aktiivisesti. Teknisesti auttavat portaalien koventaminen ja kaksivaiheinen tunnistautuminen työntekijöiden tileille.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [BSI: varoitukset ja suositukset](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR art. 33: ilmoitus valvontaviranomaiselle](https://dsgvo-gesetz.de/art-33-dsgvo/)