Röviden: Ha az egyesülete weboldalát feltörték, vagy javítatlan PHP-n áll, nincs szükség nagy költségvetésre, de egyértelmű felelősségre igen. Egy elnökségi tag rákérdez a tárhelyszolgáltatónál a javítási állapotra, biztosítja a hozzáféréseket, és szükség esetén dönt az oldal átmeneti kikapcsolásáról. A tagi adatok itt elsőbbséget élveznek a programnaptárral szemben.
Hogyan épülnek fel tipikusan az egyesületi weboldalak
A legtöbb egyesületi és szövetségi oldal WordPressen vagy Joomlán fut, egy elkötelezett tag állította be, gyakran sok évvel ezelőtt. Tipikus funkciók: időpontok és mérkőzésnaptárak, fotógalériák, tagi terület jegyzőkönyvekkel, online tagfelvételi kérelmek SEPA-beszedési meghatalmazással, adományozási űrlapok, valamint jelentkezések tanfolyamokra, versenyekre vagy kirándulásokra.
A szövetségek emellett portálokat üzemeltetnek tagvállalatoknak vagy helyi csoportoknak, bizalmas iratokat tartalmazó testületi területeket és szemináriumfoglalásokat. Szinte mindez PHP-ra épül, és olcsó webtárhelyen áll.
Milyen tagi adatok vannak a szerveren
Az online tagfelvételi kérelmek neveket, születési adatokat, címeket és bankszámlaszámokat tartalmaznak. A sportegyesületekben sok tag kiskorú, a kérelmek ilyenkor a törvényes képviselőket is megnevezik. Egyes adatok a GDPR 9. cikke szerinti különleges kategóriákba tartoznak, például az egészségügyi adatok a rehabilitációs és fogyatékossági sportban, vagy a szakszervezeti és vallási közösségi tagság.
Gyakran elfelejtett fájlok is vannak a szerveren: táblázatként tárolt taglisták a pénztárosnak, exportok az egyesületi lap postázásához, régi mentések. Éppen ezeket lehet egy támadásnál gyorsan lemásolni.
A szövetségeknél más adatok is jönnek: tagvállalatok kapcsolattartói és mutatói, tervezet állapotú állásfoglalások, elnökségi és szakbizottsági ülések jegyzőkönyvei. Ami ott bizalmasan elhangzott, az szivárgás esetén gyengítheti a tárgyalási pozíciókat, vagy egymás ellen hangolhatja a tagokat. A szövetségeknél ezért a tagi terület gyakran kényesebb, mint a nyilvános weboldal.
Egyesület és feltört weboldal: mit jelent ez konkrétan
- Bankadatokkal való visszaélés: nevekkel és IBAN-nal hamis beszedések vagy az egyesület nevében küldött csalólevelek készíthetők elő.
- Hírnév a közösségben: az egyesületi oldal, amely kétes ajánlatokra irányít át, feltűnik a tagoknak, a szponzoroknak és a helyi sajtónak.
- Bejelentési kötelezettség: az egyesületek is a GDPR szerinti adatkezelők. Adatszivárgás esetén 72 órán belüli bejelentés lehet szükséges a felügyeleti hatóságnak. A nagyobb egyesületeknek erre adatvédelmi felelősük van, a kisebbek az ernyőszervezethez vagy jogi tanácsadáshoz fordulnak.
A tipikus rés: önkéntesség és elnökségváltás
Az egyesületben gyakran csak egyetlen ember ismeri a technikai részleteket. Ha kilép, vagy az elnökség cserélődik, hiányoznak a hozzáférési adatok, és senki sem tudja, melyik PHP-verzió fut. A CMS frissítése nem zárja le a PHP2Shell-t. A PHP-ért rendes webtárhelynél a tárhelyszolgáltató felel, a megkeresésnek azonban az egyesülettől kell érkeznie.
Rögzítse az elnökségben, ki felel a weboldalért, és a domain, a tárhely és az adminisztrációs terület hozzáféréseit úgy tárolja, hogy legalább két személy hozzáférjen. Védje a rendszergazdai fiókokat kétfaktoros bejelentkezéssel.
Első lépések az elnökségnek
- Kérdezze meg írásban a tárhelyszolgáltatót: a mi csomagunkhoz a PHP a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra frissítve van, vagy backporttal javítva és újraindítva?
- Egyértelmű válasz nélkül vagy rendellenességeknél kapcsolja ki átmenetileg az oldalt. A programokat ez idő alatt körlevélben lehet terjeszteni.
- Kérje meg a tárhelyszolgáltatót, hogy őrizze meg a naplókat 2026. 10. 20-tól.
- Távolítsa el a szerverről a régi taglistákat, exportokat és a nem használt bővítményeket, és törölje a felesleges rendszergazdai fiókokat.
- Adatszivárgásra utaló jelek esetén vonja be az adatvédelmi felelőst vagy az ernyőszervezetet.
Kis költségvetéssel értelmesen priorizálni
Egyetlen egyesületnek sem kell minden biztonsági intézkedést egyszerre megvalósítania. Értelmes a kár szerinti sorrend: először védjen meg vagy távolítson el mindent, ami bankszámlaszámokat és gyermekek adatait tartalmazza. Aztán a bejelentkezéses oldalakat, vagyis a tagi területet és a rendszergazdai hozzáférést. Végül a programokat, beszámolókat és galériákat, amelyek úgyis nyilvánosak.
Gyakran a legolcsóbb megoldás a funkciók átadása, ahelyett hogy saját maga üzemeltetné őket. A tagfelvételi kérelmek és a beszedési meghatalmazások egy szolgáltató által üzemeltetett egyesületkezelőn keresztül is lebonyolíthatók, saját építésű űrlap helyett. A tagvállalati portálokat működtető szövetségeknek meg kell vizsgálniuk, hogy ott vannak-e bizalmas testületi iratok, amelyek jobban meg lennének őrizve egy külön védett rendszerben. Minél kevesebb adat van az egyesületi weboldalon, annál kisebb a következő rés okozta teher.
Hogyan segít konkrétan a PHP SOS?
- Segítünk az elnökségnek visszaszerezni a hozzáféréseket, és a tárhelyszolgáltatóval tisztázzuk a javítási állapotot.
- Gyanú esetén megvizsgáljuk az oldalt kártékony kód és ismeretlen fiókok szempontjából, és megtisztítjuk a vészhelyzeti segítségnyújtásunk keretében.
- Célzottan rendet teszünk: amire az egyesületnek nincs szüksége, azt eltávolítjuk, ahelyett hogy tovább védenénk.
- Rövid, érthető átadást adunk, hogy a következő elnökség is tudja, mi hol van.
Gyakori kérdések
Felelős az elnökség, ha az egyesületi weboldalt feltörik?
Az egyesület felelős a tagjai adataiért, az elnökség pedig képviseli az egyesületet. Hogy felmerülhet-e személyes felelősség, és milyen mértékben, az az egyedi esettől és az alapszabálytól függ. Ez jogi tanácsadásra vagy az ernyőszervezetre tartozó kérdés.
A webmesterünk kilépett. Hogyan jutunk hozzá a hozzáférésekhez?
A tárhelyszolgáltató szerződő partnere általában az egyesület. A képviseleti jogosultság igazolásával, például nyilvántartási kivonattal, az elnökség a tárhelyszolgáltatónál visszaállíttathatja a hozzáféréseket. Ezután a hozzáférési adatoknak olyan helyen kell lenniük, amelyhez legalább két elnökségi tag hozzáfér.
Mi nem kerül semmibe, és azonnal segít?
Írásban rákérdezni a tárhelyszolgáltatónál a PHP-javítási állapotra, törölni a nem használt rendszergazdai fiókokat, eltávolítani a már nem szükséges bővítményeket, és törölni a szerverről a régi taglistaexportokat. Ez jelentősen csökkenti a kockázatot, de nem pótolja a vizsgálatot, ha már vannak a feltörésre utaló jelek.