Fil-qosor: Għas-sigurtà tal-IT tal-konsulenti tat-taxxa huwa deċiżiv liema sistemi jħaddem l-uffiċċju stess. Il-portals kbar tal-fornituri tas-softwer jaqgħu taħt ir-responsabbiltà tagħhom, filwaqt li l-websajt proprja, il-formoli tal-upload u d-data rooms jaqgħu taħt tagħkom. Dawn issa jeħtieġu PHP ippatchjat, b'restart u prova bil-miktub.
Liema sistemi fl-uffiċċji tat-taxxa jaħdmu fuq PHP
Għall-kontabilità finanzjarja u l-pagi, il-biċċa l-kbira tal-uffiċċji jużaw softwer speċjalizzat u l-portals tiegħu. Maż-żmien jinbtu wkoll soluzzjonijiet proprji: formola ta' upload fuq il-websajt għal riċevuti, kwestjonarji għat-taxxa fuq id-dħul, paġna għall-impjegati ġodda tal-klijenti biex jiddaħħlu d-dejta bażika tal-pagi, portal ta' applikazzjonijiet jew Nextcloud proprju għal fajls kbar.
Dawn is-sistemi kważi dejjem jaħdmu fuq PHP u jinżammu minn aġenzija, dar tas-sistemi jew hoster. Eżattament il-formoli ż-żgħar jintnesew, għax ġew stabbiliti darba u minn dakinhar sempliċement jaħdmu. Ħafna drabi r-riċevuti mgħobbija jibqgħu snin sħaħ fil-folder tal-upload tas-server tal-web, għalkemm diġà ġew ipproċessati fis-softwer tal-uffiċċju.
Liema data hija f'riskju
L-uffiċċji tat-taxxa jipproċessaw data b'densità li bilkemm toqrob oħra settur ieħor: IBAN u estratti tal-kont, identifikaturi tat-taxxa, provi tad-dħul, listi tal-azzjonisti u pagi. Id-data tal-pagi xi kultant fiha wkoll kategoriji speċjali skont l-Art. 9 GDPR, pereżempju l-appartenenza reliġjuża għat-taxxa tal-knisja.
Hemm ukoll is-segretezza professjonali: il-konsulenti tat-taxxa huma marbuta bi kunfidenzjalità, u żvelar mhux awtorizzat jista' jkun punibbli skont il-§ 203 StGB (il-Kodiċi Kriminali Ġermaniż). U ħafna minn dawk affettwati mhumiex il-klijenti tagħkom imma l-impjegati tagħhom. F'każ ta' tnixxija ċ-ċirku tal-affettwati jikber malajr.
Sigurtà tal-IT tal-konsulenti tat-taxxa: x'jikkawża inċident konkretament
Attakk fuq uffiċċju tat-taxxa għandu konsegwenzi tipiċi li huma differenti minn setturi oħra:
- Frodi b'data reali: Min jaf il-fatturi, id-dettalji bankarji u l-kuntatti jista' jibgħat lill-klijenti talbiet għal ħlas li jidhru awtentiċi.
- Pressjoni tal-iskadenzi: Jekk il-portal tal-upload jonqos fil-perjodu tal-preżentazzjoni, ir-riċevuti jinġabru u l-klijenti jaqbżu għal mogħdijiet mhux siguri bħal emails mhux ikkriptati.
- Fiduċja: Il-klijenti jistrieħu fuq li l-finanzi tagħhom jibqgħu kunfidenzjali. Inċident li jsiru jafu bih mill-istampa jiżen aktar minn wieħed li fuqu l-uffiċċju stess jinforma b'mod fattwali.
Jekk il-portal tal-upload tagħkom jinsab fuq server li l-istat tal-patch ta' PHP tiegħu ħadd ma jista' jikkonferma, neħħuh min-netwerk sakemm jiġu ppruvati l-patch u r-restart. Hekk jirrakkomanda l-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) għal servers li ma jistgħux jiġu aġġornati immedjatament.
Il-lakuna tar-responsabbiltà bejn id-dar tas-sistemi u l-aġenzija
Id-dar tas-sistemi tieħu ħsieb is-softwer tal-uffiċċju u l-workstations, l-aġenzija l-websajt, il-hoster is-server. Min hu responsabbli għal PHP fuq is-server tal-web rarament jinsab espressament fil-kuntratt. Iċċaraw dan issa u ħallu jikkonfermawlkom l-istat tal-pakkett. Kif tiffaċilitaw il-valutazzjoni tal-ispeċifikazzjonijiet jispjegaha l-gwida Iċċekkja l-verżjoni ta' PHP u l-istat tal-patch.
Il-verżjonijiet irranġati huma PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Jekk interface turi stat aktar qadim, xorta jista' jkun daħal backport. Min-naħa l-oħra, aġġornament mingħajr restart tal-proċessi PHP ma jkunx biżżejjed.
X'għandhom jafu l-klijenti issa minnkom
Il-klijenti jirreaġixxu b'inċertezza għal aħbarijiet dwar vulnerabbiltajiet, speċjalment meta jgħabbu riċevuti regolarment. Informazzjoni qasira u fattwali tqajjem il-fiduċja: liema mogħdijiet għall-iskambju tar-riċevuti japplikaw bħalissa, li l-uffiċċju qatt ma jbiddel dettalji bankarji bl-email u li talbiet suspettużi għal ħlas għandhom jiġu vverifikati bit-telefon.
Għall-klijenti korporattivi hija utli nota oħra: l-uffiċċji tal-pagi u d-dipartimenti tal-HR għandhom joqogħdu partikolarment attenti għal talbiet dwar data tas-salarju jew dettalji bankarji mibdula tal-impjegati. Tentattivi ta' frodi bħal dawn jieħdu pjaċir jużaw għarfien li ġej minn uffiċċji. Jekk inċident konkret jeħtieġx notifika formali skont il-GDPR hija mistoqsija għaliha nnifisha, li tiċċarawha mal-uffiċjal tal-protezzjoni tad-data.
L-ewwel sigħat għad-direzzjoni tal-uffiċċju
- Elenkaw is-sistemi kollha tal-PHP proprji li jistgħu jintlaħqu mill-internet, inklużi formoli qodma u installazzjonijiet tal-ittestjar.
- Għal kull sistema ħallu jikkonfermawlkom bil-miktub l-istat tal-patch u r-restart, jew itfuha temporanjament.
- Żommu l-logs mill-20/10/2026 'il quddiem u stabbilixxu mogħdija alternattiva sigura għall-iskambju tar-riċevuti.
- Informaw kmieni lill-assiguratur u lill-uffiċjal tal-protezzjoni tad-data. X'jeħtieġ il-kuntratt tagħkom tispjegah il-paġna dwar l-assigurazzjoni ċibernetika.
Kif tgħin PHP SOS b'mod konkret?
- Nillistjaw is-sistemi kollha tal-PHP tal-uffiċċju li jintlaħqu minn barra u niċċaraw liema jinsabu għand il-fornitur tas-softwer u liema għandkom.
- Fil-qafas tal-għajnuna immedjata għal PHP2Shell nipatchjaw jew nagħmlu li jiġu ppatchjati, nerġgħu nibdew il-workers kollha u nipprovaw ir-riżultat.
- Neżaminaw id-direttorji tal-upload u d-databases għal webshells u aċċessi mhux magħrufa.
- Ninnaddfu: dak li m'għadx meħtieġ, bi ftehim magħkom, intuh minflok inkomplu nipatchjawh.
- B'kuntratt ta' manutenzjoni tas-sigurtà ir-responsabbiltà għal PHP tibqa' regolata b'mod ċar wara.
Mistoqsijiet frekwenti
L-iskambju ta' riċevuti permezz ta' portals kbar ta' softwer huwa affettwat?
Portals imħaddma minn fornitur tas-softwer fiċ-ċentru tad-data tiegħu stess jaqgħu taħt ir-responsabbiltà tiegħu. Għall-istat tal-patch tagħhom hu responsabbli l-fornitur. Jistgħu jkunu affettwati l-aktar sistemi li l-uffiċċju jħaddem waħdu jew permezz ta' aġenzija, bħal formoli tal-websajt, paġni ta' upload jew Nextcloud proprju.
Għaliex id-data tal-konsulenti tat-taxxa hija daqshekk interessanti għall-attakkanti?
Uffiċċju tat-taxxa jiġbor id-data ta' ħafna kumpaniji u persuni privati: dettalji bankarji, dħul, identifikaturi tat-taxxa u data tal-pagi tal-impjegati. B'hekk jistgħu jiġu mħejjija emails qarrieqa kredibbli u użu ħażin tal-identità. Inċident wieħed ħafna drabi jolqot mijiet ta' persuni li qatt ma kkuntrattaw direttament lill-uffiċċju.
X'għandi nagħmel jekk il-portal irid jitlaq offline f'nofs il-perjodu tal-preżentazzjoni?
Iddeterminaw minn qabel mogħdija alternattiva għall-iskambju tar-riċevuti, pereżempju trasferiment ikkriptat permezz ta' sistema mhux affettwata. Informaw lill-klijenti fil-qosor u b'mod fattwali. L-iskadenzi u kwalunkwe estensjoni possibbli tiċċarawhom bħas-soltu mil-lat professjonali; portal offline mhuwiex sostitut għal ftehim.
L-assigurazzjoni ċibernetika tħallas jekk konna mhux ippatchjati?
Dan jiddependi mill-kundizzjonijiet u mill-obbligi tal-kuntratt tagħkom. Informaw lill-assiguratur kmieni u ddokumentaw meta ħadtu liema miżura. Tweġiba vinkolanti tista' tagħtiha biss l-assiguratur jew il-broker tagħkom.