Ukratko: Kod IT sigurnosti odvjetničkog ureda važan je svaki sustav preko kojeg klijenti šalju ili preuzimaju dokumente. Utvrdite koji od njih rade na PHP-u, dajte potvrditi stanje zakrpe i ponovno pokretanje te svaki slučaj sumnje obradite tako da dokazi i povjerljivost ostanu sačuvani.
Gdje odvjetnički uredi koriste PHP, često a da to ne znaju
Sam softver odvjetničkog ureda najčešće se nalazi u uredu ili u specijaliziranom računalnom centru. PHP se nalazi na drugim mjestima: na web-stranici ureda s obrascem za prvi upit, u putovima za prijenos dokumenata, u online zakazivanju termina i u samostalno vođenim podatkovnim sobama. Mnogi odvjetnički uredi za sigurnu razmjenu dokumenata koriste vlastiti Nextcloud koji je postavila informatička tvrtka.
Upravo te podatkovne sobe sadrže najosjetljivije što jedan odvjetnički ured ima: podneske, punomoći, nacrte ugovora, vještačenja, dokazne fotografije, a u kaznenim predmetima i istražne spise. PHP2Shell napadačima omogućuje izvršavanje koda bez prijave. Jaka lozinka na portalu protiv toga ne pomaže.
Uredi sa specijalizacijama poput obiteljskog, radnog ili medicinskog prava dodatno obrađuju zdravstvene podatke, vještačenja i pojedinosti iz privatnog života. U gospodarskim uredima nalaze se dokumenti o transakcijama koji prije objave mogu utjecati na tečaj. Koji se materijal nalazi u Vašim portalima, određuje koliko je incident težak.
Profesionalna tajna i zaštita podataka: što znači curenje
Za odvjetnice i odvjetnike vrijedi strukovna obveza čuvanja tajne. Neovlašteno otkrivanje tajni klijenata može prema § 203 StGB (njemački Kazneni zakonik) biti kažnjivo. Uz to postoje obveze iz GDPR-a, među kojima kod zdravstvenog ili kaznenopostupovnog odnosa spadaju posebne kategorije podataka.
Curenje podataka stoga pogađa urede dvostruko. Ugrožava tekuće predmete kada primjerice pregovaračke pozicije ili nacrti nagodbi dospiju u krive ruke. I narušava povjerenje na kojem se temelji odnos prema klijentu. Morate li i kako obavijestiti klijente i nadzorno tijelo, procijenite sa svojim službenikom za zaštitu podataka i uz savjet o strukovnom pravu.
Web-stranica odvjetničkog ureda kao alat za prijevaru
Kompromitirani poslužitelj odvjetničkog ureda napadačima ne služi samo kao izvor podataka. S memorandumom, oznakom spisa i stvarnim imenima iz portala za klijente mogu se krivotvoriti dopisi koje je jedva moguće razlikovati od pravih. Osobito su osjetljivi zahtjevi za plaćanje, primjerice za iznose nagodbe ili troškove, s promijenjenim bankovnim računom.
I obrazac za prvi upit može se zlouporabiti: napadač preusmjerava upite na vlastitu adresu i javlja se zainteresiranima u ime ureda. Nakon incidenta stoga ne biste trebali dati provjeriti samo poslužitelj, nego i aktivno upozoriti klijente da bankovne podatke nikad ne mijenjate e-poštom.
Posebni elektronički odvjetnički poštanski sandučić (beA, Njemačka) i softver ureda ne rade na Vašem web-poslužitelju. Opasno postaje tamo gdje su na web-poslužitelju pohranjeni pristupni podaci za poštanske račune ili druge sustave ureda.
IT sigurnost odvjetničkog ureda: tko je za što odgovoran?
U uredima bez vlastitog IT odjela zadaci se obično raspodjeljuju ovako:
| Sustav | Tko ga održava | Otvoreno pitanje kod PHP2Shella |
|---|---|---|
| Softver ureda, radna mjesta | Informatička tvrtka | uglavnom nije pogođeno |
| Nextcloud ili podatkovna soba | Informatička tvrtka ili pružatelj hostinga | Tko zakrpa PHP i ponovno ga pokreće? |
| Web-stranica s obrascima | Web-agencija | Radi li kod pružatelja hostinga na aktualnom PHP-u? |
| Online zakazivanje termina | vanjski pružatelj ili dodatak | Gdje se nalaze razlozi dolaska klijenata? |
Praznina nastaje tamo gdje informatička tvrtka web-stranicu smatra stvari agencije, a agencija poslužitelj stvari pružatelja hostinga. Za svaki sustav pisano utvrdite tko ažurira PHP i ponovno pokreće procese.
Sumnjiv poslužitelj ne čistite prenagljeno. Tko ga ponovno postavi prije nego što su tragovi osigurani, kasnije ne može dokazati jesu li i koji podaci klijenata procurili.
Prvi sati: djelovati povjerljivo i provjerljivo
- Pogođene portale i podatkovne sobe zatvoriti za klijente, interni rad nastaviti preko softvera ureda.
- Osigurati zapisnike od 20. 10. 2026. i sačuvati stanje poslužitelja prije nego što netko obriše datoteke.
- Stanje zakrpe i ponovno pokretanje pisano zatražiti od operatera. Sam prikazani broj verzije nije dovoljan jer ga backportovi mogu ostaviti nepromijenjenim.
- Odrediti uski krug koji govori o incidentu i pripremiti komunikaciju prema van.
- Uključiti službenika za zaštitu podataka i imati na umu rok za prijavu prema GDPR-u.
Kako PHP SOS konkretno pomaže?
- Prije prvog pristupa uređujemo pisano čuvanje tajne i ograničavamo pristup na nužno.
- Provjeravamo stanje zakrpe, način rada i ponovno pokretanje svih PHP sustava ureda koji su dostupni s interneta.
- Pri sumnji forenzički osiguravamo tragove kako bi se kasnije moglo dokazati čemu se pristupalo. Pojedinosti na našoj stranici o IT forenzici.
- Sustave čistimo i ojačavamo te svaki korak dokumentiramo za upravu ureda, službenika za zaštitu podataka i osiguratelja.
- Na želju preuzimamo stalno održavanje portala kako sljedeća PHP ranjivost ne bi ponovno ostala između informatičke tvrtke i agencije.
Česta pitanja
Pogađa li PHP2Shell naš softver za odvjetnički ured?
Sam softver odvjetničkog ureda najčešće ne radi na PHP web-poslužitelju. Pogođeni mogu biti web-stranica, obrasci za prijenos, samostalno vođene podatkovne sobe poput Nextclouda i portali koji se temelje na PHP-u. Jasnoću donosi popis svih sustava dostupnih putem interneta.
Smije li vanjski IT pružatelj usluga u slučaju incidenta pristupiti podacima klijenata?
Strukovno pravo i § 203 StGB (njemački Kazneni zakonik) dopuštaju uključivanje suradničkih pružatelja usluga pod određenim uvjetima, osobito uz obvezu čuvanja tajne. Koji zahtjevi za Vaš ured vrijede u pojedinostima, provjerite sa stajališta strukovnog prava. Mi čuvanje tajne uređujemo pisano prije prvog pristupa.
Moramo li obavijestiti klijente o napadu?
Kod rizika za prava pogođenih osoba GDPR može zahtijevati obavijest, a uz to postoje i razmatranja strukovnog prava. Odluka pripada upravi ureda i službeniku za zaštitu podataka. Usklađena komunikacija sprječava proturječne izjave.