# IT sauga mokesčių konsultantams ir jų mandantų portalams

> Dokumentų įkėlimas, mandantų portalas, darbo užmokestis: kaip mokesčių konsultantai apsaugo PHP sistemas nuo PHP2Shell ir saugo mandantų duomenis.

Šaltinis: https://phpsos.de/lt/branchen/steuerberater/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** Mokesčių konsultantų IT saugai lemiamas klausimas, kurias sistemas kontora eksploatuoja pati. Programinės įrangos teikėjų dideli portalai yra jų atsakomybė, o nuosava svetainė, įkėlimo formos ir duomenų kambariai yra jūsiškė. Dabar jos turi veikti su pataisytu PHP, po paleidimo iš naujo ir su raštišku įrodymu.

## Kurios sistemos mokesčių kontorose veikia ant PHP

Finansų apskaitai ir darbo užmokesčiui dauguma kontorų naudoja specializuotą programinę įrangą ir jos portalus. Greta per metus atsiranda nuosavų sprendimų: įkėlimo forma svetainėje dokumentams, pajamų mokesčio anketos, puslapis mandantų naujiems darbuotojams darbo užmokesčio pagrindiniams duomenims surinkti, kandidatų portalas ar savarankiškai eksploatuojamas [Nextcloud](https://phpsos.de/lt/plattformen/nextcloud/) dideliems failams.

Šios sistemos beveik visada veikia ant PHP ir jas prižiūri agentūra, sistemų namai ar hostingo teikėjas. Būtent mažos formos pamirštamos, nes buvo vieną kartą įrengtos ir nuo to laiko tiesiog veikia. Dažnai įkelti dokumentai metų metus guli žiniatinklio serverio įkėlimų aplanke, nors kontoros programinėje įrangoje jau seniai apdoroti.

## Kokie duomenys pastatyti ant kortos

Mokesčių kontoros tvarko duomenis tokiu tankiu, kokio beveik nepasiekia joks kitas sektorius: IBAN ir sąskaitų išrašus, mokesčių mokėtojų kodus, pajamų įrodymus, akcininkų sąrašus ir darbo užmokesčio skaičiavimus. Darbo užmokesčio duomenyse kartais yra ir specialių kategorijų pagal BDAR 9 straipsnį, pavyzdžiui, tikybinė priklausomybė bažnyčios mokesčiui.

Be to, galioja profesinė paslaptis: mokesčių konsultantai privalo saugoti paslaptį, o neteisėtas atskleidimas pagal Vokietijos baudžiamojo kodekso (StGB, Vokietijos įstatymas) 203 straipsnį gali užtraukti baudžiamąją atsakomybę. O daugelis paveiktų asmenų visai nėra jūsų mandantai, o jų darbuotojai. Nutekėjus duomenims paveiktųjų ratas todėl greitai plečiasi.

## Mokesčių konsultantų IT sauga: ką incidentas sukelia konkrečiai

Ataka prieš mokesčių kontorą turi tipinių pasekmių, kurios skiriasi nuo kitų sektorių:

- **Sukčiavimas tikrais duomenimis:** Kas žino sąskaitas, banko rekvizitus ir kontaktinius asmenis, gali mandantams siųsti apgaulingai tikrus mokėjimo reikalavimus.
- **Terminų spaudimas:** Jei įkėlimo portalas sugenda deklaravimo laikotarpiu, dokumentai kaupiasi, o mandantai pereina į nesaugius kelius, pavyzdžiui, nešifruotą paštą.
- **Pasitikėjimas:** Mandantai tikisi, kad jų finansai išliks konfidencialūs. Incidentas, apie kurį jie sužino iš spaudos, sveria daugiau nei toks, apie kurį kontora pati dalykiškai informuoja.

> **Veikti nedelsiant:**
> Jei jūsų įkėlimo portalas stovi serveryje, kurio PHP pataisų būsenos niekas negali patvirtinti, atjunkite jį nuo tinklo, kol pataisa ir paleidimas iš naujo bus įrodyti. Taip BSI rekomenduoja serveriams, kurių negalima iš karto atnaujinti.

## Atsakomybės spraga tarp sistemų namų ir agentūros

Sistemų namai prižiūri kontoros programinę įrangą ir darbo vietas, agentūra svetainę, hostingo teikėjas serverį. Kas atsakingas už PHP žiniatinklio serveryje, sutartyje retai nurodyta aiškiai. Išsiaiškinkite tai dabar ir paprašykite patvirtinti paketo būseną. Kaip vertinti pateiktą informaciją, paaiškina instrukcija [PHP versijos ir pataisų būsenos patikra](https://phpsos.de/lt/php2shell/php-version-pruefen/).

Ištaisytos versijos yra PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. Jei sąsaja rodo senesnę būseną, vis tiek gali būti įdiegtas backport. Ir atvirkščiai: atnaujinimo be PHP procesų paleidimo iš naujo nepakanka.

## Ką mandantai dabar turėtų žinoti iš jūsų

Mandantai į žinias apie saugumo spragas reaguoja nežinia, ypač jei reguliariai įkelia dokumentus. Trumpa, dalykiška informacija tuomet kuria pasitikėjimą: kokie keliai dokumentams keistis galioja dabar, kad kontora sąskaitų rekvizitų niekada nekeičia el. paštu ir kad įtartinus mokėjimo reikalavimus reikėtų telefonu pasitikslinti.

Įmonių mandantams naudinga dar viena pastaba: darbo užmokesčio skyriai ir personalo skyriai turėtų būti ypač budrūs dėl užklausų apie atlyginimų duomenis ar pakeistus darbuotojų banko rekvizitus. Tokie sukčiavimo bandymai mielai naudoja žinias, gautas iš kontorų. Ar konkretus incidentas reikalauja formalaus pranešimo pagal BDAR, yra atskiras klausimas, kurį išsiaiškinsite su savo duomenų apsaugos pareigūnu.

## Pirmosios valandos kontoros vadovybei

1. Surašyti visas nuosavas, iš interneto pasiekiamas PHP sistemas, taip pat senas formas ir bandomuosius diegimus.
2. Kiekvienai sistemai raštu patvirtinti pataisų būseną ir paleidimą iš naujo arba ją laikinai išjungti.
3. Išsaugoti žurnalus nuo 2026-10-20 ir nustatyti saugų atsarginį kelią dokumentams keistis.
4. Anksti informuoti draudiką ir duomenų apsaugos pareigūną. Ko reikalauja jūsų sutartis, paaiškina puslapis apie [kibernetinį draudimą](https://phpsos.de/lt/compliance/cyberversicherung/).

## Kaip konkrečiai padeda PHP SOS?

- Surandame visas išoriškai pasiekiamas kontoros PHP sistemas ir išsiaiškiname, kurios yra pas programinės įrangos teikėją, o kurios pas jus.
- Pagal [PHP2Shell skubią pagalbą](https://phpsos.de/lt/leistungen/php2shell-soforthilfe/) pataisome arba leidžiame pataisyti, paleidžiame iš naujo visus darbinius procesus (worker) ir įrodome rezultatą.
- Tikriname įkėlimų katalogus ir duomenų bazes dėl webshell ir nežinomų prieigų.
- Sutvarkome: kas nebereikalinga, pagal susitarimą išjungiame, užuot toliau taisę.
- Su [saugumo priežiūros sutartimi](https://phpsos.de/lt/leistungen/security-wartungsvertrag/) atsakomybė už PHP po to lieka aiškiai sureguliuota.


## Dažni klausimai

**Ar paveiktas dokumentų keitimasis per dideles programinės įrangos portalas?**  
Portalai, kuriuos programinės įrangos teikėjas eksploatuoja savo duomenų centre, yra jo atsakomybė. Už jų pataisų būseną atsako teikėjas. Paveiktos gali būti visų pirma sistemos, kurias jūsų kontora eksploatuoja pati arba per agentūrą, pavyzdžiui, svetainės formos, įkėlimo puslapiai ar nuosavas Nextcloud.

**Kodėl mokesčių konsultantų duomenys užpuolikams tokie įdomūs?**  
Mokesčių kontora sutelkia daugelio įmonių ir fizinių asmenų duomenis: banko rekvizitus, pajamas, mokesčių mokėtojų kodus ir darbuotojų darbo užmokesčio duomenis. Su jais galima parengti įtikinamus sukčiavimo laiškus ir asmens tapatybės pasisavinimą. Todėl vienas incidentas dažnai paliečia šimtus žmonių, kurie kontoros niekada tiesiogiai neužsakė.

**Ką daryti, jei portalą deklaravimo laikotarpiu reikia išjungti?**  
Iš anksto nustatykite atsarginį kelią dokumentams keistis, pavyzdžiui, užšifruotą perdavimą per nepaveiktą sistemą. Trumpai ir dalykiškai informuokite mandantus. Terminus ir galimus terminų pratęsimus sprendžiate kaip įprasta, profesiniu požiūriu; išjungtas portalas nėra susitarimo pakaitalas.

**Ar kibernetinis draudimas sumoka, jei buvome nepataisyti?**  
Tai priklauso nuo jūsų sutarties sąlygų ir pareigų. Anksti informuokite draudiką ir dokumentuokite, kada kokių priemonių ėmėtės. Įpareigojančią informaciją pateikia tik draudikas ar jūsų brokeris.

## Šaltiniai

- [php.net: saugumo pranešimai](https://www.php.net/)
- [php.net: palaikomos versijos](https://www.php.net/supported-versions.php)
- [BSI (Vokietijos federalinė informacijos saugumo tarnyba): įspėjimai ir rekomendacijos](https://www.bsi.bund.de/)