Röviden: Egy ügyvédi iroda IT-biztonságánál minden rendszer számít, amelyen keresztül az ügyfelek dokumentumokat küldenek vagy kérnek le. Állapítsa meg, melyek futnak PHP-n, igazoltassa a javítási állapotot és az újraindítást, és minden gyanús esetet úgy kezeljen, hogy a bizonyítékok és a bizalmasság megmaradjanak.
Hol használnak PHP-t az ügyvédi irodák, gyakran anélkül, hogy tudnának róla
Az irodai szoftver maga többnyire az irodában vagy egy szakosodott adatközpontban áll. A PHP máshol fordul elő: az iroda weboldalán az első megkeresés űrlapjával, a dokumentumok feltöltési útvonalain, az online időpontfoglalásokban és az önállóan üzemeltetett adatszobákban. Sok iroda a biztonságos dokumentumcseréhez saját Nextcloudot használ, amelyet egy rendszerház állított be.
Éppen ezek az adatszobák tartalmazzák az iroda legérzékenyebb anyagait: beadványokat, meghatalmazásokat, szerződéstervezeteket, szakértői véleményeket, bizonyító fényképeket, büntetőügyekben nyomozati iratokat is. A PHP2Shell lehetővé teszi a támadóknak a kódfuttatást bejelentkezés nélkül. A portál erős jelszava ez ellen nem segít.
A családjog, munkajog vagy orvosi jog súlypontú irodák emellett egészségügyi adatokat, szakvéleményeket és magánéleti részleteket is kezelnek. A gazdasági ügyekkel foglalkozó irodákban olyan tranzakciók iratai vannak, amelyek a nyilvánosságra hozataluk előtt árfolyamérzékenyek lehetnek. Hogy milyen anyag van a portáljaiban, az határozza meg, mennyire súlyos egy incidens.
Hivatásbeli titoktartás és adatvédelem: mit jelent egy adatszivárgás
Az ügyvédekre szakmai titoktartási kötelezettség vonatkozik. Az ügyféltitkok jogosulatlan felfedése a német Btk. (StGB) 203. §-a (német jogszabály) szerint büntetendő lehet. Emellett ott vannak a GDPR szerinti kötelezettségek, amelyekhez egészségügyi vagy büntetőeljárási vonatkozás esetén különleges adatkategóriák is tartoznak.
Az adatszivárgás ezért az irodákat kétszeresen érinti. Veszélyezteti a folyamatban lévő megbízásokat, ha például tárgyalási álláspontok vagy egyezségi tervezetek rossz kezekbe kerülnek. És megrendíti a bizalmat, amelyen a megbízási jogviszony alapul. Hogy és hogyan kell értesítenie az ügyfeleket és a felügyeletet, azt az adatvédelmi felelősével és szakmai jogi tanácsadással értékelje.
Az iroda weboldala mint eszköz a csaláshoz
Egy feltört irodai szerver a támadóknak nemcsak adatforrásként szolgál. Fejléces papírral, ügyszámokkal és egy ügyfélportálból származó valódi nevekkel olyan levelek hamisíthatók, amelyeket alig lehet megkülönböztetni a valódiaktól. Különösen kényesek a fizetési felszólítások, például egyezségi összegekre vagy díjakra, megváltoztatott bankszámlaszámmal.
Az első megkeresés űrlapjával is vissza lehet élni: a támadó átirányítja a megkereséseket a saját címére, és az iroda nevében jelentkezik az érdeklődőknél. Egy incidens után ezért nemcsak a szervert kell megvizsgáltatni, hanem az ügyfeleket aktívan figyelmeztetni is kell arra, hogy a bankszámlaszámot e-mailben soha nem változtatja meg.
A különleges elektronikus ügyvédi postafiók és az irodai szoftver nem az Ön webszerverén fut. Veszélyes ott lesz a helyzet, ahol a webszerveren levelezési fiókokhoz vagy más irodai rendszerekhez tartozó hozzáférési adatok vannak elmentve.
Ügyvédi iroda IT-biztonsága: ki miért felel?
Saját IT-osztály nélküli irodákban a feladatok többnyire így oszlanak meg:
| Rendszer | Ki gondozza | Nyitott kérdés a PHP2Shell kapcsán |
|---|---|---|
| Irodai szoftver, munkaállomások | rendszerház | többnyire nem érintett |
| Nextcloud vagy adatszoba | rendszerház vagy tárhelyszolgáltató | Ki javítja a PHP-t és indítja újra? |
| Weboldal űrlapokkal | webügynökség | Naprakész PHP-n fut a tárhelyszolgáltatónál? |
| Online időpontfoglalás | külső szolgáltató vagy bővítmény | Hol vannak az ügyfelek ügyei? |
A rés ott keletkezik, ahol a rendszerház a weboldalt az ügynökség ügyének tartja, az ügynökség pedig a szervert a tárhelyszolgáltatóénak. Minden rendszerhez rögzítse írásban, ki frissíti a PHP-t és indítja újra a folyamatokat.
Ne tisztítson meg elhamarkodottan egy gyanús szervert. Aki a nyomok mentése előtt újratelepíti, az később nem tudja bizonyítani, hogy történt-e adatszivárgás, és mely ügyféladatok érintettek.
Az első órák: bizalmasan és követhetően eljárni
- Zárja le az érintett portálokat és adatszobákat az ügyfelek elől, a belső munkát az irodai szoftveren folytassa.
- Mentse a naplókat 2026. 10. 20-tól, és őrizze meg a szerver állapotát, mielőtt bárki fájlokat törölne.
- Kérdezze meg írásban az üzemeltetőtől a javítási állapotot és az újraindítást. A kijelzett verziószám önmagában nem elég, mert a backportok változatlanul hagyhatják.
- Jelöljön ki egy szűk kört, amely az incidensről beszél, és készítse elő a külső kommunikációt.
- Vonja be az adatvédelmi felelőst, és tartsa szem előtt a GDPR szerinti bejelentési határidőt.
Hogyan segít konkrétan a PHP SOS?
- Az első hozzáférés előtt írásban szabályozzuk a titoktartást, és a szükséges mértékre korlátozzuk a hozzáférést.
- Ellenőrizzük az iroda minden, az internetről elérhető PHP-rendszerének javítási állapotát, üzemmódját és újraindítását.
- Gyanú esetén igazságügyi informatikai módszerekkel mentünk nyomokat, hogy később bizonyítható legyen, mihez fértek hozzá. Részletek az IT-forenzikáról szóló oldalunkon.
- Megtisztítjuk és megerősítjük a rendszereket, és minden lépést dokumentálunk az iroda vezetése, az adatvédelmi felelős és a biztosító számára.
- Kívánságra átvesszük a portálok folyamatos gondozását, hogy a következő PHP-rés ne ragadjon megint a rendszerház és az ügynökség közé.
Gyakori kérdések
Érinti a PHP2Shell az ügyvédi irodai szoftverünket?
Maga az irodai szoftver többnyire nem PHP-webszerveren fut. Érintett lehet a weboldal, a feltöltési űrlapok, az önállóan üzemeltetett adatszobák, például a Nextcloud, valamint a PHP-ra épülő portálok. Az összes interneten át elérhető rendszer számbavétele teremt tisztánlátást.
Hozzáférhet külső IT-szolgáltató ügyféladatokhoz egy incidensnél?
A szakmai szabályok és a német Btk. (StGB) 203. §-a (német jogszabály) bizonyos feltételekkel megengedik közreműködő szolgáltatók bevonását, különösen titoktartási kötelezettség vállalása mellett. Hogy az Ön irodájára pontosan milyen követelmények vonatkoznak, azt a hivatásrendi szabályok alapján ellenőrizze. A titoktartást az első hozzáférés előtt írásban rögzítjük.
Tájékoztatnunk kell az ügyfeleket egy támadásról?
Az érintettek jogait érő kockázat esetén a GDPR értesítést kívánhat meg, emellett szakmai jogi megfontolások is felmerülnek. A döntés az iroda vezetésére és az adatvédelmi felelősre tartozik. Az összehangolt kommunikáció megakadályozza az egymásnak ellentmondó közléseket.