Röviden: Egy ingatlankezelő IT-biztonságánál elsősorban azok a rendszerek számítanak, amelyeken keresztül a bérlők és a tulajdonosok adatot küldenek be: portálok, kárbejelentések és lakásjelentkezési űrlapok. Tisztázza, melyek futnak az Ön saját szerverén, igazoltassa a PHP-javítást, és tartson készenlétben pótutat a sürgős kárbejelentésekhez.
Milyen PHP-rendszereket használnak az ingatlankezelők és az ingatlanközvetítők
Sok kezelő ágazati szoftverrel dolgozik az ingatlanokhoz, bérleti díjakhoz és rezsiköltségekhez. Kifelé további rendszerek jönnek: bérlői és tulajdonosi portálok dokumentumtárral, online űrlapok kárbejelentésekhez fotófeltöltéssel, lakásajánlatok érdeklődői űrlappal és bérlői nyilatkozattal, tulajdonosi közgyűlések területei jegyzőkönyvekkel és határozatokkal.
Ennek egy részét a szoftverszolgáltató üzemelteti szolgáltatásként, egy másik rész a saját weboldalon fut, gyakran WordPress ingatlan-bővítményekkel. A PHP2Shell szempontjából éppen ez a megkülönböztetés a döntő.
Ide jönnek az interfészek, amelyeket a mindennapokban alig valaki vesz észre: az ingatlanajánlatok automatikusan átkerülnek az ágazati szoftverből a weboldalra és az ingatlanportálokra, a fogyasztásmérő-állásokat mérésszolgáltatók küldik, a szakipari megbízások saját űrlapokon futnak. Mindegyik kapcsolathoz hozzáférési adatok kellenek, amelyeket gyakran a webszerveren tárolnak. Egy incidens után mindet meg kell újítani, különben a támadónak hátsó ajtó marad a szomszédos rendszerekbe.
Milyen adatokat bíznak rá a bérlők és a tulajdonosok
Egy ingatlankezelőnél bérleti szerződések, csoportos beszedési megbízásokhoz tartozó bankszámlaszámok, rezsielszámolások, fogyasztásmérő-állások, hibákkal és vitás esetekkel kapcsolatos levelezés, valamint lakásokban készült fotók vannak. Az érdeklődőknél jövedelemigazolásokat, személyi igazolvány-másolatokat és hitelképességi lekérdezéseket tartalmazó nyilatkozatok jönnek hozzá. A tulajdonosi portálokon határozatok, tartalékok és részben zárrendszerekre vonatkozó információk találhatók.
A támadók számára ezek az adatok két okból érdekesek: lehetővé teszik a személyazonossággal való visszaélést, és mindent megadnak, ami a hiteles csalólevelekhez kell, például egy állítólagos új bankszámlaszámot a bérleti díjhoz. A feltöltött fájlok ráadásul tipikus támadási útvonalat jelentenek. Hogyan valósíthatók meg biztonságosan a feltöltések, azt a Fájlfeltöltések PHP-ban útmutató magyarázza.
Ingatlankezelés és IT-biztonság: mit jelent egy incidens
Ha a portál kiesik, hiányzik a csatorna a sürgős bejelentésekhez, mint a vízkárok vagy a fűtéskiesések. Ez nyomást kelt a telefonon és az ügyeleten, de tervezhető. Veszélyesebb egy észrevétlen támadás:
- A bérlők idegen IBAN-nal ellátott, hamis fizetési felszólításokat kapnak, amelyek valódi szerződéses adatokat említenek.
- Lakásjelentkezők nyilatkozatait lemásolják és csalásra használják.
- A tulajdonosok elveszítik a bizalmat a kezelőben, ami a következő közgyűlésen téma lesz.
Ha adatszivárgásra utaló jelek vannak, a felügyeleti hatóságnak való bejelentés a GDPR 72 órás szabálya szerint szükséges lehet. Az értékelést az adatvédelmi felelősével együtt végezze el.
Ha senki sem igazolja, hogy a portálja szerverén a PHP javítva van és újraindult, kapcsolja le a portált a hálózatról. A kárbejelentéseket átmenetileg irányítsa át telefonra és ügyeletre.
A tipikus felelősségi rés
| Rendszer | Üzemeltetés | Ki javítja a PHP-t |
|---|---|---|
| Ágazati szoftver az irodában | IT-gondozó | többnyire nem érintett |
| Portál a szolgáltató szolgáltatásaként | szoftverszolgáltató | a szolgáltató, igazolást kell kérni |
| Portál saját szerveren | tárhelyszolgáltató vagy szolgáltató | a szerződés szerint, gyakran tisztázatlan |
| Weboldal lakásajánlatokkal | ügynökség és tárhelyszolgáltató | tárhelyszolgáltató webtárhelynél |
Ehhez jön, hogy a kisebb kezelőknél senkinek sincs teljes rálátása. Az ügynökség a weboldalt ismeri, az IT-gondozó az irodai gépeket, a szoftverszolgáltató a saját portálját.
Tulajdonosok, tanácsok és bérlők helyes bevonása
A társasházkezelésben a tulajdonosok és a felügyelő tanácsok nem csupán érintettek, hanem megbízók is. Joggal várják el, hogy a kezelő egy incidensnél nyíltan és igazolhatóan számoljon be. Egy rövid jelentés az okról, az érintett rendszerekről, a megtett intézkedésekről és a nyitott állapotról jobb, mint a hallgatás a következő közgyűlésig.
A bérlőknek elsősorban gyakorlati tudnivalókra van szükségük: éppen melyik bejelentési út érvényes, hogy a bankszámlaszámok levélben nem változnak, és kinek továbbíthatják a gyanús üzeneteket. Az egyeztetett szövegek megakadályozzák, hogy a gondnok, az ügyintézés és a könyvelés különböző felvilágosítást adjon.
Az első órák a vezetésnek
- Listázza fel az összes portált és űrlapot, és mindegyiknél tisztázza, hol fut.
- Igazoltassa írásban a javítási állapotot a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra, illetve a backportot és az újraindítást.
- Mentse a naplókat 2026. 10. 20-tól, és ellenőriztesse a feltöltési könyvtárakat ismeretlen fájlok szempontjából.
- Ellenőrizze a portálok munkatársi fiókjait, és a tisztítás után védje őket kétfaktoros bejelentkezéssel.
- Óvintézkedésként hívja fel a bérlők figyelmét arra, hogy a bankszámlaszámok levélben nem változnak.
Hogyan segít konkrétan a PHP SOS?
- Felmérjük a portáljait és űrlapjait, és a szolgáltatóval, az ügynökséggel és a tárhelyszolgáltatóval tisztázzuk a felelősségi köröket.
- Ellenőrizzük a javítási állapotot és az újraindítást, és megvizsgáljuk a feltöltési mappákat és adatbázisokat webshellek után kutatva.
- Fertőzés esetén a feltört weboldalakra szóló vészhelyzeti segítségnyújtás keretében megtisztítunk, és az incidenst dokumentáljuk az adatvédelmi felelős és a biztosító számára.
- A biztonsági karbantartási szerződéssel a PHP a szervereken tartósan naprakész és felügyelt marad.
Gyakori kérdések
A bérlői portálunk egy szolgáltató szoftvere. Érintettek vagyunk?
Ha a portál szolgáltatásként fut a szolgáltatónál, ő felel a szerverért és a PHP-ért. Kérdezzen rá nála írásban az állapotra. Ha ugyanez a szoftver az Ön saját szerverén vagy a tárhelyszolgáltatójánál fut, a javítás és az újraindítás Önnél vagy a szolgáltatójánál van.
A bérlői nyilatkozat mely adatai különösen kényesek?
A jövedelemigazolások, a személyi igazolványok másolatai, a hitelképességi lekérdezések és a munkáltatóra vonatkozó adatok alkalmasak személyazonossággal való visszaélésre és csalásra. Csak addig szabad őket tárolni, ameddig a bérbeadáshoz szükséges. Hogy ez meddig tart, azt az adatvédelmi felelősével tisztázza.
Hogyan akadályozzuk meg a bérlőknek küldött hamis fizetési felszólításokat?
Közölje a bérlőkkel, hogy a bankszámlaszáma levélben vagy portálüzenetben nem változik meg anélkül, hogy Ön azt egy második úton megerősítené. Egy incidens után aktívan figyelmeztesse a bérlőket. Technikailag a portálok megerősítése és a munkatársi fiókok kétfaktoros bejelentkezése segít.