In breve: per la sicurezza IT dei commercialisti è decisivo quali sistemi lo studio gestisca da sé. I grandi portali dei fornitori di software sono di responsabilità di questi ultimi; il sito web proprio, i moduli di upload e i data room, invece, sono di responsabilità Sua. Questi devono ora passare a un PHP aggiornato, con riavvio e prova scritta.
Quali sistemi girano su PHP negli studi di commercialisti
Per contabilità e paghe la maggior parte degli studi usa software specializzato e i relativi portali. Accanto a questi, nel tempo nascono soluzioni proprie: un modulo di upload sul sito web per i documenti, questionari per la dichiarazione dei redditi, una pagina per i nuovi dipendenti dei clienti in cui raccogliere i dati anagrafici per le paghe, un portale per le candidature o una Nextcloud gestita in proprio per i file di grandi dimensioni.
Questi sistemi girano quasi sempre su PHP e sono curati da un'agenzia, da una società di servizi informatici o da un hoster. Proprio i piccoli moduli cadono nel dimenticatoio, perché una volta configurati hanno semplicemente continuato a funzionare. Spesso i documenti caricati restano così per anni nella cartella di upload del server web, anche se da tempo sono stati elaborati nel software dello studio.
Quali dati sono in gioco
Gli studi di commercialisti trattano dati con una densità che quasi nessun altro settore raggiunge: IBAN ed estratti conto, codici fiscali, attestazioni di reddito, elenchi dei soci e buste paga. I dati paga contengono talvolta anche categorie particolari ai sensi dell'art. 9 GDPR, ad esempio l'appartenenza religiosa per l'imposta ecclesiastica tedesca (Kirchensteuer).
Si aggiunge il segreto professionale: i commercialisti sono tenuti alla riservatezza e la rivelazione non autorizzata può essere punibile ai sensi del § 203 StGB (codice penale tedesco). E molti interessati non sono affatto Suoi clienti, ma i loro dipendenti. In caso di fuga di dati la cerchia degli interessati si allarga così rapidamente.
Sicurezza IT dei commercialisti: che cosa innesca concretamente un incidente
Un attacco a uno studio di commercialisti ha conseguenze tipiche, diverse da quelle di altri settori:
- Frode con dati reali: chi conosce fatture, coordinate bancarie e interlocutori può inviare ai clienti richieste di pagamento ingannevolmente autentiche.
- Pressione delle scadenze: se il portale di upload si ferma nel periodo delle dichiarazioni, i documenti si accumulano e i clienti ripiegano su vie poco sicure come le e-mail non cifrate.
- Fiducia: i clienti contano sul fatto che le loro finanze restino riservate. Un incidente di cui vengono a sapere dalla stampa pesa di più di uno su cui lo studio stesso informa in modo oggettivo.
Se il Suo portale di upload si trova su un server di cui nessuno può confermare lo stato delle patch PHP, lo scolleghi dalla rete finché non siano dimostrati patch e riavvio. È ciò che raccomanda il BSI (Ufficio federale tedesco per la sicurezza informatica) per i server che non possono essere aggiornati subito.
Il vuoto di responsabilità tra società di servizi informatici e agenzia
La società di servizi informatici cura il software dello studio e le postazioni, l'agenzia il sito web, l'hoster il server. Chi sia responsabile di PHP sul server web raramente è scritto in modo esplicito nel contratto. Lo chiarisca ora e si faccia confermare lo stato del pacchetto. Come interpretare le indicazioni lo spiega la guida Verificare la versione di PHP e lo stato delle patch.
Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se un'interfaccia mostra uno stato più vecchio, può comunque essere stato applicato un backport. Per contro, un aggiornamento senza riavvio dei processi PHP non basta.
Che cosa i clienti dovrebbero sapere da Lei adesso
I clienti reagiscono alle notizie sulle vulnerabilità di sicurezza con incertezza, soprattutto se caricano regolarmente documenti. Un'informazione breve e oggettiva ispira allora fiducia: quali vie valgono al momento per lo scambio di documenti, che lo studio non modifica mai le coordinate bancarie per e-mail e che le richieste di pagamento sospette andrebbero verificate per telefono.
Per i clienti aziendali è utile un ulteriore avviso: uffici paghe e reparti del personale dovrebbero prestare particolare attenzione a richieste su dati retributivi o a coordinate bancarie modificate dei dipendenti. Questi tentativi di frode sfruttano volentieri conoscenze provenienti dagli studi. Se un incidente concreto richieda una comunicazione formale ai sensi del GDPR è una questione a sé, che chiarisce con il Suo responsabile della protezione dei dati.
Prime ore per la direzione dello studio
- Elencare tutti i sistemi PHP propri raggiungibili da Internet, anche vecchi moduli e installazioni di prova.
- Per ogni sistema far confermare per iscritto stato delle patch e riavvio, oppure disattivarlo temporaneamente.
- Salvare i log dal 20/10/2026 e stabilire una via alternativa sicura per lo scambio dei documenti.
- Informare presto assicuratore e responsabile della protezione dei dati. Che cosa richieda il Suo contratto lo spiega la pagina sull'assicurazione cyber.
Come aiuta concretamente PHP SOS?
- Censiamo tutti i sistemi PHP dello studio raggiungibili dall'esterno e chiariamo quali si trovano presso il fornitore di software e quali presso di Lei.
- Nell'ambito dell'assistenza immediata PHP2Shell aggiorniamo o facciamo aggiornare, riavviamo tutti i worker e documentiamo il risultato.
- Verifichiamo directory di upload e database alla ricerca di web shell e accessi sconosciuti.
- Facciamo pulizia: ciò che non serve più lo disattiviamo, d'intesa con Lei, anziché continuare ad aggiornarlo.
- Con un contratto di manutenzione della sicurezza la responsabilità per PHP resta poi chiaramente regolata.
Domande frequenti
Lo scambio di documenti tramite i grandi portali dei fornitori di software è interessato?
I portali che un fornitore di software gestisce nel proprio centro di calcolo sono di sua responsabilità. Per il loro stato di aggiornamento risponde il fornitore. Possono essere interessati soprattutto i sistemi che il Suo studio gestisce in proprio o tramite un'agenzia, ad esempio moduli del sito web, pagine di upload o una Nextcloud propria.
Perché i dati dei commercialisti sono così interessanti per gli aggressori?
Uno studio di commercialisti concentra i dati di molte imprese e privati: coordinate bancarie, redditi, codici fiscali e dati paga dei dipendenti. Con essi si preparano e-mail truffa credibili e furti di identità. Un solo incidente coinvolge così spesso centinaia di persone che lo studio non ha mai incaricato direttamente.
Che cosa fare se il portale deve andare offline proprio nel periodo delle scadenze?
Stabilisca in anticipo una via alternativa per lo scambio dei documenti, ad esempio una consegna cifrata tramite un sistema non interessato. Informi i clienti in modo breve e oggettivo. Scadenze ed eventuali proroghe le chiarisce come di consueto sul piano professionale; un portale messo offline non sostituisce un accordo.
L'assicurazione cyber paga se non avevamo installato le patch?
Dipende dalle condizioni e dagli obblighi del Suo contratto. Informi presto l'assicuratore e documenti quando ha adottato quale misura. Un'indicazione vincolante la dà solo l'assicuratore o il Suo broker.