Ukratko: Za IT sigurnost poreznih savjetnika odlučujuće je koje sustave ured vodi sam. Velike portale pružatelja softvera vode oni sami, a vlastitu web-stranicu, obrasce za prijenos i podatkovne sobe vodite Vi. Oni sada moraju na zakrpani PHP, uz ponovno pokretanje i pisani dokaz.
Koji sustavi u poreznim uredima rade na PHP-u
Za financijsko knjigovodstvo i plaće većina ureda koristi specijaliziran softver i njegove portale. Uz to se tijekom godina pojavljuju vlastita rješenja: obrazac za prijenos računa na web-stranici, upitnici za porez na dohodak, stranica za nove zaposlenike klijenata za unos matičnih podataka o plaćama, portal za prijave za posao ili samostalno vođeni Nextcloud za velike datoteke.
Ti sustavi gotovo uvijek rade na PHP-u, a održava ih agencija, informatička tvrtka ili pružatelj hostinga. Upravo se mali obrasci zaboravljaju jer su jednom postavljeni i otad jednostavno rade. Često preneseni računi godinama leže u direktoriju za prijenose na web-poslužitelju iako su davno obrađeni u softveru ureda.
Koji su podaci na kocki
Porezni uredi obrađuju podatke u gustoći koju jedva koja druga djelatnost dostiže: IBAN i izvatke s računa, porezne identifikatore, dokaze o primanjima, popise članova društva i obračune plaća. Podaci o plaćama ponekad sadrže i posebne kategorije prema čl. 9. GDPR-a, primjerice pripadnost vjerskoj zajednici zbog crkvenog poreza (Njemačka).
Tome se pridodaje profesionalna tajna: porezni savjetnici obvezni su čuvati tajnu, a neovlašteno otkrivanje može prema § 203 StGB (njemački Kazneni zakonik) biti kažnjivo. A mnoge pogođene osobe uopće nisu Vaši klijenti, nego njihovi zaposlenici. Pri curenju se krug pogođenih tako brzo širi.
IT sigurnost poreznih savjetnika: što incident konkretno pokreće
Napad na porezni ured ima tipične posljedice koje se razlikuju od drugih djelatnosti:
- Prijevara sa stvarnim podacima: Tko poznaje račune, bankovne veze i kontakt osobe, može klijentima slati zavaravajuće vjerodostojne zahtjeve za plaćanje.
- Pritisak rokova: Ako portal za prijenos ispadne u razdoblju predaje, računi se gomilaju, a klijenti prelaze na nesigurne putove poput nešifrirane e-pošte.
- Povjerenje: Klijenti se oslanjaju na to da njihove financije ostaju povjerljive. Incident za koji saznaju iz tiska teži je od onog o kojem ih ured sam stvarno obavijesti.
Ako Vaš portal za prijenos stoji na poslužitelju čije stanje PHP zakrpe nitko ne može potvrditi, odspojite ga s mreže dok zakrpa i ponovno pokretanje nisu dokazani. Tako BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje za poslužitelje koji se ne mogu odmah ažurirati.
Praznina u odgovornosti između informatičke tvrtke i agencije
Informatička tvrtka održava softver ureda i radna mjesta, agencija web-stranicu, pružatelj hostinga poslužitelj. Tko je odgovoran za PHP na web-poslužitelju, rijetko izričito piše u ugovoru. Razjasnite to sada i dajte si potvrditi stanje paketa. Kako podatke procijeniti, objašnjava uputa Provjera verzije PHP-a i stanja zakrpe.
Ispravljene verzije su PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ako sučelje prikazuje stariju verziju, backport ipak može biti instaliran. Obrnuto, ažuriranje bez ponovnog pokretanja PHP procesa nije dovoljno.
Što klijenti sada trebaju znati od Vas
Klijenti na vijesti o sigurnosnim ranjivostima reagiraju nesigurnošću, osobito ako redovito učitavaju račune. Kratka, stvarna informacija tada gradi povjerenje: koji putovi za razmjenu računa trenutno vrijede, da ured bankovne veze nikad ne mijenja e-poštom i da sumnjive zahtjeve za plaćanje treba provjeriti telefonom.
Za klijente tvrtke korisna je još jedna napomena: računovodstva i kadrovske službe trebale bi biti osobito oprezne kod upita o podacima o plaći ili promijenjenim bankovnim vezama zaposlenika. Takvi pokušaji prijevare rado koriste znanje koje potječe iz ureda. Zahtijeva li konkretan incident formalnu obavijest prema GDPR-u, zasebno je pitanje koje razjašnjavate sa svojim službenikom za zaštitu podataka.
Prvi sati za upravu ureda
- Popisati sve vlastite PHP sustave dostupne s interneta, i stare obrasce i testne instalacije.
- Za svaki sustav dati pisano potvrditi stanje zakrpe i ponovno pokretanje ili ga privremeno isključiti.
- Osigurati zapisnike od 20. 10. 2026. i utvrditi siguran zamjenski put za razmjenu računa.
- Rano obavijestiti osiguratelja i službenika za zaštitu podataka. Što traži Vaš ugovor, objašnjava stranica o kibernetičkom osiguranju.
Kako PHP SOS konkretno pomaže?
- Bilježimo sve izvana dostupne PHP sustave ureda i razjašnjavamo koji su kod pružatelja softvera, a koji kod Vas.
- U okviru PHP2Shell hitne pomoći zakrpamo ili dajemo zakrpati, ponovno pokrećemo sve workere i dokazujemo rezultat.
- Provjeravamo direktorije za prijenose i baze podataka na web shellove i nepoznate pristupe.
- Raspremamo: što se više ne koristi, u dogovoru gasimo umjesto da to dalje zakrpavamo.
- Uz ugovor o sigurnosnom održavanju odgovornost za PHP nakon toga ostaje jasno uređena.
Česta pitanja
Pogađa li razmjena računa preko velikih softverskih portala?
Portali koje pružatelj softvera vodi u vlastitom računalnom centru u njegovoj su odgovornosti. Za njihovo stanje zakrpe odgovoran je pružatelj. Pogođeni mogu biti prije svega sustavi koje Vaš ured vodi sam ili preko agencije, primjerice obrasci na web-stranici, stranice za prijenos ili vlastiti Nextcloud.
Zašto su podaci poreznih savjetnika napadačima toliko zanimljivi?
Porezni ured okuplja podatke mnogih tvrtki i privatnih osoba: bankovne veze, primanja, porezne identifikatore i podatke o plaćama zaposlenika. Time se mogu pripremiti vjerodostojne prijevarne poruke i zlouporaba identiteta. Jedan jedini incident tako često pogađa stotine ljudi koji ured nikad nisu izravno angažirali.
Što učiniti ako portal usred razdoblja predaje mora ići izvan mreže?
Unaprijed utvrdite zamjenski put za razmjenu računa, primjerice šifriranu predaju preko nepogođenog sustava. Klijente obavijestite kratko i stvarno. Rokove i moguća produljenja rješavate kao i inače stručno; portal isključen s mreže nije zamjena za dogovor.
Plaća li kibernetičko osiguranje ako smo bili nezakrpani?
To ovisi o uvjetima i obvezama iz Vašeg ugovora. Osiguratelja obavijestite rano i dokumentirajte kada ste koju mjeru poduzeli. Obvezujuću informaciju daje samo osiguratelj ili Vaš posrednik.