In breve: nella sicurezza IT di uno studio legale conta ogni sistema attraverso cui i clienti inviano o consultano documenti. Accerti quali di essi girano su PHP, faccia confermare stato delle patch e riavvio e tratti ogni sospetto in modo da preservare prove e riservatezza.
Dove gli studi legali usano PHP, spesso senza saperlo
Il software dello studio vero e proprio sta di solito in ufficio o in un centro di calcolo specializzato. PHP si trova altrove: sul sito web dello studio con il modulo per la prima richiesta, nei percorsi di upload dei documenti, nelle prenotazioni online degli appuntamenti e nei data room gestiti in proprio. Molti studi usano per lo scambio sicuro di documenti una propria Nextcloud, configurata da una società di servizi informatici.
Proprio questi data room contengono ciò che uno studio ha di più sensibile: atti, procure, bozze di contratti, perizie, foto probatorie e, nelle cause penali, anche fascicoli di indagine. PHP2Shell consente agli aggressori di eseguire codice senza autenticazione. Una password robusta sul portale, in questo caso, non serve.
Gli studi con focus su diritto di famiglia, del lavoro o medico trattano inoltre informazioni sanitarie, perizie e dettagli della vita privata. Negli studi di diritto commerciale si trovano documenti su operazioni che, prima della pubblicazione, possono incidere sulle quotazioni. Quale materiale si trovi nei Suoi portali determina quanto sia grave un incidente.
Segreto professionale e protezione dei dati: che cosa significa una fuga di dati
Per avvocati e avvocate vale un obbligo professionale di riservatezza. La rivelazione non autorizzata di segreti dei clienti può essere punibile ai sensi del § 203 StGB. Accanto a ciò ci sono gli obblighi del GDPR, tra cui, in presenza di dati sanitari o di riferimenti a procedimenti penali, categorie particolari di dati.
Una fuga di dati colpisce quindi gli studi legali due volte. Mette a rischio i mandati in corso, ad esempio quando posizioni negoziali o bozze di transazione finiscono in mani sbagliate. E danneggia la fiducia su cui si fonda il rapporto di mandato. Se e come debba informare clienti e autorità di controllo lo valuta con il Suo responsabile della protezione dei dati e con una consulenza deontologica.
Il sito dello studio come strumento di frode
Un server compromesso di uno studio legale non serve agli aggressori solo come fonte di dati. Con carta intestata, numeri di pratica e nomi reali tratti da un portale clienti si possono falsificare lettere difficilmente distinguibili da quelle autentiche. Particolarmente delicate sono le richieste di pagamento, ad esempio per importi transattivi o onorari, con un IBAN modificato.
Anche il modulo per la prima richiesta può essere abusato: un aggressore devia le richieste verso un indirizzo proprio e si rivolge agli interessati a nome dello studio. Dopo un incidente, quindi, non conviene solo far verificare il server, ma avvertire attivamente i clienti che le coordinate bancarie non vengono mai modificate per e-mail.
La casella elettronica speciale degli avvocati tedeschi (besonderes elektronisches Anwaltspostfach) e il software dello studio non girano sul Suo server web. Il pericolo nasce dove sul server web sono memorizzate credenziali di caselle di posta o di altri sistemi dello studio.
Sicurezza IT dello studio: chi è responsabile di che cosa?
Negli studi senza un reparto IT proprio i compiti di solito si distribuiscono così:
| Sistema | Chi se ne occupa | Domanda aperta con PHP2Shell |
|---|---|---|
| Software dello studio, postazioni | Società di servizi informatici | di norma non interessati |
| Nextcloud o data room | Società di servizi informatici o hoster | Chi aggiorna PHP e riavvia? |
| Sito web con moduli | Agenzia web | Gira presso l'hoster su un PHP aggiornato? |
| Prenotazione online di appuntamenti | fornitore esterno o plugin | Dove si trovano le richieste dei clienti? |
Il vuoto nasce dove la società di servizi informatici ritiene il sito di competenza dell'agenzia e l'agenzia ritiene il server di competenza dell'hoster. Metta per iscritto, per ogni sistema, chi aggiorna PHP e riavvia i processi.
Non bonifichi in fretta un server sospetto. Chi lo reinstalla prima di aver preservato le tracce non potrà più dimostrare in seguito se e quali dati dei clienti siano stati sottratti.
Le prime ore: agire in modo riservato e tracciabile
- Bloccare per i clienti i portali e i data room interessati, proseguendo il lavoro interno tramite il software dello studio.
- Salvare i log dal 20/10/2026 e mantenere lo stato del server prima che qualcuno cancelli dei file.
- Chiedere per iscritto al gestore stato delle patch e riavvio. Il solo numero di versione visualizzato non basta, perché i backport possono lasciarlo invariato.
- Stabilire una cerchia ristretta che parli dell'incidente e preparare la comunicazione verso l'esterno.
- Coinvolgere il responsabile della protezione dei dati e tenere d'occhio il termine di notifica secondo il GDPR.
Come aiuta concretamente PHP SOS?
- Prima del primo accesso regoliamo per iscritto la riservatezza e limitiamo l'accesso allo stretto necessario.
- Verifichiamo stato delle patch, modalità di esecuzione e riavvio di tutti i sistemi PHP dello studio raggiungibili da Internet.
- In caso di sospetto preserviamo le tracce con metodo forense, così da poter dimostrare in seguito a che cosa si è avuto accesso. Dettagli nella nostra pagina sull'analisi forense IT.
- Bonifichiamo e rafforziamo i sistemi e documentiamo ogni passaggio per direzione dello studio, responsabile della protezione dei dati e assicuratore.
- Su richiesta ci occupiamo della manutenzione continua dei portali, perché la prossima vulnerabilità di PHP non resti di nuovo sospesa tra società di servizi informatici e agenzia.
Domande frequenti
Il software del nostro studio è interessato da PHP2Shell?
Il vero e proprio software dello studio di norma non gira su un server web PHP. Possono essere interessati il sito web, i moduli di upload, i data room gestiti in proprio come Nextcloud e i portali basati su PHP. Un censimento di tutti i sistemi raggiungibili da Internet fa chiarezza.
Un fornitore IT esterno può accedere ai dati dei clienti durante un incidente?
L'ordinamento professionale e il § 203 StGB (codice penale tedesco) consentono di coinvolgere fornitori di servizi collaboratori a determinate condizioni, in particolare un obbligo di riservatezza. Quali requisiti valgano nel dettaglio per il Suo studio lo verifichi sul piano deontologico. Noi regoliamo la riservatezza per iscritto prima del primo accesso.
Dobbiamo informare i clienti di un attacco?
In presenza di un rischio per i diritti degli interessati il GDPR può richiedere una comunicazione; accanto a ciò ci sono considerazioni deontologiche. La decisione spetta alla direzione dello studio e al responsabile della protezione dei dati. Una comunicazione concordata evita dichiarazioni contraddittorie.