Ukratko: Za IT sigurnost upravitelja nekretnina najvažniji su sustavi preko kojih stanari i vlasnici predaju podatke: portali, prijave šteta i obrasci za prijave na stanove. Razjasnite koji od njih rade na Vašem vlastitom poslužitelju, dajte potvrditi PHP zakrpu i držite spreman zamjenski put za hitne prijave šteta.
Koje PHP sustave koriste upravitelji nekretnina i posrednici
Mnoge uprave rade sa sektorskim softverom za objekte, najamnine i režije. Prema van dolaze dodatni sustavi: portali za stanare i vlasnike s pohranom dokumenata, online obrasci za prijave šteta s prijenosom fotografija, ponude stanova s obrascem za zainteresirane i samoprijavom stanara, područja za skupštine vlasnika sa zapisnicima i odlukama.
Dio toga vodi se kao usluga pružatelja softvera, drugi dio radi na vlastitoj web-stranici, često WordPress s dodacima za nekretnine. Za PHP2Shell upravo je ta razlika odlučujuća.
Pridodaju se sučelja koja u svakodnevici jedva tko primjećuje: ponude nekretnina automatski se prenose iz sektorskog softvera na web-stranicu i portale za nekretnine, očitanja brojila dolaze od pružatelja mjerenja, nalozi obrtnicima idu preko vlastitih obrazaca. Svaka od tih veza treba pristupne podatke koji su često pohranjeni na web-poslužitelju. Nakon incidenta svi se moraju obnoviti, inače napadaču ostaju stražnja vrata u susjedne sustave.
Koje podatke stanari i vlasnici povjeravaju
U upravi nekretnina nalaze se ugovori o najmu, bankovne veze za izravna terećenja, obračuni režija, očitanja brojila, prepiska o nedostacima i sporovima te fotografije iz stanova. Kod zainteresiranih se pridodaju samoprijave s dokazima o primanjima, preslikama osobnih iskaznica i bonitetnim informacijama. U portalima za vlasnike nalaze se odluke, pričuve i djelomično informacije o sustavima zaključavanja.
Napadačima su ti podaci zanimljivi iz dva razloga: omogućuju zlouporabu identiteta i daju sve što je potrebno za vjerodostojne prijevarne poruke, primjerice navodno novu bankovnu vezu za najamninu. Učitane datoteke uz to su tipičan put napada. Kako se prijenosi sigurno provode, objašnjava savjetnik Prijenosi datoteka u PHP-u.
Upravljanje nekretninama i IT sigurnost: što incident znači
Ako portal ispadne, nedostaje kanal za hitne prijave poput šteta od vode ili kvara grijanja. To stvara pritisak na telefon i dežurnu službu, ali je planirljivo. Opasniji je neprimijećeni napad:
- Stanari primaju krivotvorene zahtjeve za plaćanje s tuđim IBAN-om koji navode stvarne podatke iz ugovora.
- Samoprijave kandidata za stan kopiraju se i koriste za prijevaru.
- Vlasnici gube povjerenje u upravu, što na sljedećoj skupštini postaje tema.
Ako postoje naznake curenja podataka, može biti potrebna prijava nadzornom tijelu prema pravilu od 72 sata iz GDPR-a. Procjenu donosite sa svojim službenikom za zaštitu podataka.
Ako nitko ne potvrdi da je PHP na poslužitelju Vašeg portala zakrpan i ponovno pokrenut, odspojite portal s mreže. Prijave šteta privremeno preusmjerite na telefon i dežurnu službu.
Tipična praznina u odgovornosti
| Sustav | Rad | Tko zakrpa PHP |
|---|---|---|
| Sektorski softver u uredu | IT skrbnik | uglavnom nije pogođen |
| Portal kao usluga pružatelja | Pružatelj softvera | Pružatelj, zatražiti potvrdu |
| Portal na vlastitom poslužitelju | Pružatelj hostinga ili pružatelj usluga | prema ugovoru, često neriješeno |
| Web-stranica s ponudama stanova | Agencija i pružatelj hostinga | Pružatelj hostinga kod web-hostinga |
Tome se pridodaje da u manjim upravama nitko nema cjelovit pregled. Agencija poznaje web-stranicu, IT skrbnik uredska računala, pružatelj softvera svoj portal.
Vlasnike, savjete i stanare ispravno uključiti
U upravljanju etažnim vlasništvom (WEG, Njemačka) vlasnici i upravni odbori nisu samo pogođeni, nego i naručitelji. S pravom očekuju da uprava pri incidentu izvještava otvoreno i dokazivo. Kratko izvješće s uzrokom, pogođenim sustavima, poduzetim mjerama i otvorenim stanjem bolje je od šutnje do sljedeće skupštine.
Stanarima su prije svega potrebne praktične napomene: koji put prijave trenutno vrijedi, da se bankovne veze ne mijenjaju e-poštom i kome mogu proslijediti sumnjive poruke. Usklađeni tekstovi sprječavaju da domar, referenti i računovodstvo daju različite informacije.
Prvi sati za upravu tvrtke
- Popisati sve portale i obrasce i za svaki razjasniti gdje radi.
- Dati pisano potvrditi stanje zakrpe na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 odnosno backport i ponovno pokretanje.
- Osigurati zapisnike od 20. 10. 2026., dati provjeriti direktorije za prijenose na nepoznate datoteke.
- Provjeriti račune zaposlenika u portalima i nakon čišćenja ih osigurati dvofaktorskom prijavom.
- Stanare preventivno upozoriti da se bankovne veze ne mijenjaju e-poštom.
Kako PHP SOS konkretno pomaže?
- Bilježimo Vaše portale i obrasce te s pružateljem, agencijom i pružateljem hostinga razjašnjavamo odgovornosti.
- Provjeravamo stanje zakrpe i ponovno pokretanje te istražujemo direktorije za prijenose i baze podataka na web shellove.
- Pri zaraženosti čistimo u okviru hitne pomoći kod hakiranih web-stranica i dokumentiramo incident za službenika za zaštitu podataka i osiguratelja.
- Uz ugovor o sigurnosnom održavanju PHP na Vašim poslužiteljima ostaje trajno aktualan i nadziran.
Česta pitanja
Naš portal za stanare softver je pružatelja. Jesmo li pogođeni?
Ako portal radi kao usluga kod pružatelja, on je odgovoran za poslužitelj i PHP. Pitajte ga pisano za stanje. Ako isti softver radi na Vašem vlastitom poslužitelju ili kod Vašeg pružatelja hostinga, zakrpa i ponovno pokretanje su kod Vas ili Vašeg pružatelja usluga.
Koji su podaci iz samoprijave stanara osobito osjetljivi?
Dokazi o primanjima, preslike osobnih iskaznica, bonitetne informacije i podaci o poslodavcu pogodni su za zlouporabu identiteta i prijevaru. Treba ih spremati samo onoliko dugo koliko je potrebno za iznajmljivanje. Koliko dugo je to, razjasnite sa svojim službenikom za zaštitu podataka.
Kako sprječavamo krivotvorene zahtjeve za plaćanje stanarima?
Stanarima priopćite da se Vaša bankovna veza ne mijenja e-poštom ili porukom u portalu bez da to potvrdite drugim putem. Nakon incidenta trebali biste stanare aktivno upozoriti. Tehnički pomažu ojačavanje portala i dvofaktorska prijava za račune zaposlenika.