# IT sigurnost za porezne savjetnike i njihove portale za klijente > Prijenos računa, portal za klijente, podaci o plaćama: kako porezni savjetnici štite PHP sustave od PHP2Shella i podatke klijenata i u vrijeme rokova. Izvor: https://phpsos.de/hr/branchen/steuerberater/ Stanje: 25.10.2026 Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6 **Ukratko:** Za IT sigurnost poreznih savjetnika odlučujuće je koje sustave ured vodi sam. Velike portale pružatelja softvera vode oni sami, a vlastitu web-stranicu, obrasce za prijenos i podatkovne sobe vodite Vi. Oni sada moraju na zakrpani PHP, uz ponovno pokretanje i pisani dokaz. ## Koji sustavi u poreznim uredima rade na PHP-u Za financijsko knjigovodstvo i plaće većina ureda koristi specijaliziran softver i njegove portale. Uz to se tijekom godina pojavljuju vlastita rješenja: obrazac za prijenos računa na web-stranici, upitnici za porez na dohodak, stranica za nove zaposlenike klijenata za unos matičnih podataka o plaćama, portal za prijave za posao ili samostalno vođeni [Nextcloud](https://phpsos.de/hr/plattformen/nextcloud/) za velike datoteke. Ti sustavi gotovo uvijek rade na PHP-u, a održava ih agencija, informatička tvrtka ili pružatelj hostinga. Upravo se mali obrasci zaboravljaju jer su jednom postavljeni i otad jednostavno rade. Često preneseni računi godinama leže u direktoriju za prijenose na web-poslužitelju iako su davno obrađeni u softveru ureda. ## Koji su podaci na kocki Porezni uredi obrađuju podatke u gustoći koju jedva koja druga djelatnost dostiže: IBAN i izvatke s računa, porezne identifikatore, dokaze o primanjima, popise članova društva i obračune plaća. Podaci o plaćama ponekad sadrže i posebne kategorije prema čl. 9. GDPR-a, primjerice pripadnost vjerskoj zajednici zbog crkvenog poreza (Njemačka). Tome se pridodaje profesionalna tajna: porezni savjetnici obvezni su čuvati tajnu, a neovlašteno otkrivanje može prema § 203 StGB (njemački Kazneni zakonik) biti kažnjivo. A mnoge pogođene osobe uopće nisu Vaši klijenti, nego njihovi zaposlenici. Pri curenju se krug pogođenih tako brzo širi. ## IT sigurnost poreznih savjetnika: što incident konkretno pokreće Napad na porezni ured ima tipične posljedice koje se razlikuju od drugih djelatnosti: - **Prijevara sa stvarnim podacima:** Tko poznaje račune, bankovne veze i kontakt osobe, može klijentima slati zavaravajuće vjerodostojne zahtjeve za plaćanje. - **Pritisak rokova:** Ako portal za prijenos ispadne u razdoblju predaje, računi se gomilaju, a klijenti prelaze na nesigurne putove poput nešifrirane e-pošte. - **Povjerenje:** Klijenti se oslanjaju na to da njihove financije ostaju povjerljive. Incident za koji saznaju iz tiska teži je od onog o kojem ih ured sam stvarno obavijesti. > **Djelujte odmah:** > Ako Vaš portal za prijenos stoji na poslužitelju čije stanje PHP zakrpe nitko ne može potvrditi, odspojite ga s mreže dok zakrpa i ponovno pokretanje nisu dokazani. Tako BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje za poslužitelje koji se ne mogu odmah ažurirati. ## Praznina u odgovornosti između informatičke tvrtke i agencije Informatička tvrtka održava softver ureda i radna mjesta, agencija web-stranicu, pružatelj hostinga poslužitelj. Tko je odgovoran za PHP na web-poslužitelju, rijetko izričito piše u ugovoru. Razjasnite to sada i dajte si potvrditi stanje paketa. Kako podatke procijeniti, objašnjava uputa [Provjera verzije PHP-a i stanja zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/). Ispravljene verzije su PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ako sučelje prikazuje stariju verziju, backport ipak može biti instaliran. Obrnuto, ažuriranje bez ponovnog pokretanja PHP procesa nije dovoljno. ## Što klijenti sada trebaju znati od Vas Klijenti na vijesti o sigurnosnim ranjivostima reagiraju nesigurnošću, osobito ako redovito učitavaju račune. Kratka, stvarna informacija tada gradi povjerenje: koji putovi za razmjenu računa trenutno vrijede, da ured bankovne veze nikad ne mijenja e-poštom i da sumnjive zahtjeve za plaćanje treba provjeriti telefonom. Za klijente tvrtke korisna je još jedna napomena: računovodstva i kadrovske službe trebale bi biti osobito oprezne kod upita o podacima o plaći ili promijenjenim bankovnim vezama zaposlenika. Takvi pokušaji prijevare rado koriste znanje koje potječe iz ureda. Zahtijeva li konkretan incident formalnu obavijest prema GDPR-u, zasebno je pitanje koje razjašnjavate sa svojim službenikom za zaštitu podataka. ## Prvi sati za upravu ureda 1. Popisati sve vlastite PHP sustave dostupne s interneta, i stare obrasce i testne instalacije. 2. Za svaki sustav dati pisano potvrditi stanje zakrpe i ponovno pokretanje ili ga privremeno isključiti. 3. Osigurati zapisnike od 20. 10. 2026. i utvrditi siguran zamjenski put za razmjenu računa. 4. Rano obavijestiti osiguratelja i službenika za zaštitu podataka. Što traži Vaš ugovor, objašnjava stranica o [kibernetičkom osiguranju](https://phpsos.de/hr/compliance/cyberversicherung/). ## Kako PHP SOS konkretno pomaže? - Bilježimo sve izvana dostupne PHP sustave ureda i razjašnjavamo koji su kod pružatelja softvera, a koji kod Vas. - U okviru [PHP2Shell hitne pomoći](https://phpsos.de/hr/leistungen/php2shell-soforthilfe/) zakrpamo ili dajemo zakrpati, ponovno pokrećemo sve workere i dokazujemo rezultat. - Provjeravamo direktorije za prijenose i baze podataka na web shellove i nepoznate pristupe. - Raspremamo: što se više ne koristi, u dogovoru gasimo umjesto da to dalje zakrpavamo. - Uz [ugovor o sigurnosnom održavanju](https://phpsos.de/hr/leistungen/security-wartungsvertrag/) odgovornost za PHP nakon toga ostaje jasno uređena. ## Česta pitanja **Pogađa li razmjena računa preko velikih softverskih portala?** Portali koje pružatelj softvera vodi u vlastitom računalnom centru u njegovoj su odgovornosti. Za njihovo stanje zakrpe odgovoran je pružatelj. Pogođeni mogu biti prije svega sustavi koje Vaš ured vodi sam ili preko agencije, primjerice obrasci na web-stranici, stranice za prijenos ili vlastiti Nextcloud. **Zašto su podaci poreznih savjetnika napadačima toliko zanimljivi?** Porezni ured okuplja podatke mnogih tvrtki i privatnih osoba: bankovne veze, primanja, porezne identifikatore i podatke o plaćama zaposlenika. Time se mogu pripremiti vjerodostojne prijevarne poruke i zlouporaba identiteta. Jedan jedini incident tako često pogađa stotine ljudi koji ured nikad nisu izravno angažirali. **Što učiniti ako portal usred razdoblja predaje mora ići izvan mreže?** Unaprijed utvrdite zamjenski put za razmjenu računa, primjerice šifriranu predaju preko nepogođenog sustava. Klijente obavijestite kratko i stvarno. Rokove i moguća produljenja rješavate kao i inače stručno; portal isključen s mreže nije zamjena za dogovor. **Plaća li kibernetičko osiguranje ako smo bili nezakrpani?** To ovisi o uvjetima i obvezama iz Vašeg ugovora. Osiguratelja obavijestite rano i dokumentirajte kada ste koju mjeru poduzeli. Obvezujuću informaciju daje samo osiguratelj ili Vaš posrednik. ## Izvori - [php.net: sigurnosne objave](https://www.php.net/) - [php.net: podržane verzije](https://www.php.net/supported-versions.php) - [BSI: upozorenja i preporuke](https://www.bsi.bund.de/)