Kort gezegd: Voor de IT-beveiliging van een vastgoedbeheerder tellen vooral de systemen waarmee huurders en eigenaren gegevens indienen: portalen, schademeldingen en aanmeldformulieren voor woningen. Stel vast welke daarvan op uw eigen server draaien, laat de PHP-patch bevestigen en houd een alternatieve route klaar voor dringende schademeldingen.
Welke PHP-systemen vastgoedbeheerders en makelaars gebruiken
Veel beheerders werken met branchesoftware voor objecten, huren en servicekosten. Naar buiten toe komen andere systemen daarbij: huurders- en eigenarenportalen met documentopslag, online formulieren voor schademeldingen met foto-upload, woningaanbod met belangstellendenformulier en huurdersverklaring, ruimten voor eigenarenvergaderingen met notulen en besluiten.
Een deel daarvan wordt als dienst van de softwareaanbieder beheerd, een ander deel draait op de eigen website, vaak WordPress met vastgoed-plug-ins. Voor PHP2Shell is juist dat onderscheid beslissend.
Daarbij komen koppelingen die in het dagelijks leven bijna niemand opmerkt: vastgoedaanbod wordt automatisch uit de branchesoftware naar de website en naar vastgoedportalen overgedragen, meterstanden komen van meetdienstverleners, opdrachten voor ambachtslieden lopen via eigen formulieren. Elk van die verbindingen heeft inloggegevens nodig die vaak op de webserver staan. Na een incident moeten ze allemaal worden vernieuwd, anders houdt de aanvaller een achterdeur naar aangrenzende systemen.
Welke gegevens huurders en eigenaren toevertrouwen
Bij een vastgoedbeheerder staan huurcontracten, bankgegevens voor incasso's, servicekostenafrekeningen, meterstanden, correspondentie over gebreken en geschillen en foto's uit woningen. Bij belangstellenden komen huurdersverklaringen met inkomensbewijzen, kopieën van identiteitsbewijzen en kredietwaardigheidsgegevens erbij. In eigenarenportalen staan besluiten, reserveringen en deels informatie over sluitsystemen.
Voor aanvallers zijn deze gegevens om twee redenen interessant: ze maken identiteitsmisbruik mogelijk en leveren alles wat nodig is voor geloofwaardige fraudemails, bijvoorbeeld een zogenaamd nieuw rekeningnummer voor de huur. Geüploade bestanden zijn bovendien een typische aanvalsroute. Hoe uploads veilig worden gerealiseerd, legt de gids Bestandsuploads in PHP uit.
Vastgoedbeheer en IT-beveiliging: wat een incident betekent
Valt het portaal uit, dan ontbreekt het kanaal voor dringende meldingen zoals waterschade of uitgevallen verwarming. Dat zet telefoon en storingsdienst onder druk, maar is te plannen. Gevaarlijker is een onopgemerkte aanval:
- Huurders ontvangen valse betalingsverzoeken met een vreemd IBAN, waarin echte contractgegevens staan.
- Huurdersverklaringen van woningzoekenden worden gekopieerd en voor fraude gebruikt.
- Eigenaren verliezen het vertrouwen in de beheerder, wat bij de volgende vergadering een thema wordt.
Zijn er aanwijzingen voor een gegevenslek, dan kan een melding aan de toezichthouder volgens de 72-uursregel van de AVG nodig zijn. De beoordeling maakt u met uw functionaris voor gegevensbescherming.
Bevestigt niemand dat PHP op de server van uw portaal is gepatcht en herstart, haal het portaal dan van het netwerk. Leid schademeldingen tijdelijk om naar telefoon en storingsdienst.
De typische verantwoordelijkheidskloof
| Systeem | Beheer | Wie patcht PHP |
|---|---|---|
| Branchesoftware op kantoor | IT-beheerder | meestal niet getroffen |
| Portaal als dienst van de aanbieder | Softwareaanbieder | Aanbieder, bevestiging opvragen |
| Portaal op eigen server | Hostingprovider of dienstverlener | volgens contract, vaak onduidelijk |
| Website met woningaanbod | Bureau en hostingprovider | Hostingprovider bij webhosting |
Daar komt bij dat in kleinere beheerkantoren niemand het totaaloverzicht heeft. Het bureau kent de website, de IT-beheerder de kantoor-pc's, de softwareaanbieder zijn portaal.
Eigenaren, commissies en huurders goed betrekken
In het beheer van eigenaarsgemeenschappen (in Duitsland WEG) zijn eigenaren en beheercommissies niet alleen betrokkenen, maar ook opdrachtgevers. Zij verwachten terecht dat de beheerder bij een incident open en aantoonbaar rapporteert. Een kort rapport met oorzaak, getroffen systemen, genomen maatregelen en openstaande punten is beter dan zwijgen tot de volgende vergadering.
Huurders hebben vooral praktische aanwijzingen nodig: welke meldroute nu geldt, dat rekeningnummers niet per mail veranderen en aan wie zij verdachte berichten kunnen doorgeven. Afgestemde teksten voorkomen dat huismeester, administratie en boekhouding verschillende informatie geven.
De eerste uren voor de directie
- Zet alle portalen en formulieren op een rij en stel voor elk vast waar het draait.
- Laat de patchstatus op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 of de backport en de herstart schriftelijk bevestigen.
- Zet logs vanaf 20 oktober 2026 veilig, laat uploadmappen controleren op onbekende bestanden.
- Controleer medewerkersaccounts van de portalen en beveilig ze na de opschoning met tweestapsverificatie.
- Wijs huurders preventief erop dat rekeningnummers niet per mail veranderen.
Hoe helpt PHP SOS concreet?
- Wij inventariseren uw portalen en formulieren en stellen met aanbieder, bureau en hostingprovider de verantwoordelijkheden vast.
- Wij controleren patchstatus en herstart en onderzoeken uploadmappen en databases op webshells.
- Bij besmetting saneren wij in het kader van de noodhulp bij gehackte websites en documenteren het incident voor functionaris voor gegevensbescherming en verzekeraar.
- Met een beveiligingsonderhoudscontract blijft PHP op uw servers permanent actueel en bewaakt.
Veelgestelde vragen
Ons huurdersportaal is software van een aanbieder. Zijn wij getroffen?
Draait het portaal als dienst bij de aanbieder, dan is die verantwoordelijk voor server en PHP. Vraag daar schriftelijk naar de stand van zaken. Draait dezelfde software op uw eigen server of bij uw hostingprovider, dan liggen patch en herstart bij u of uw dienstverlener.
Welke gegevens uit de huurdersverklaring zijn bijzonder gevoelig?
Inkomensbewijzen, kopieën van identiteitsbewijzen, kredietwaardigheidsgegevens en gegevens over de werkgever lenen zich voor identiteitsmisbruik en fraude. Ze mogen alleen zo lang worden bewaard als voor de verhuur nodig is. Hoe lang dat is, bespreekt u met uw functionaris voor gegevensbescherming.
Hoe voorkomen wij valse betalingsverzoeken aan huurders?
Laat huurders weten dat uw bankrekening niet per mail of portaalbericht wijzigt zonder dat u dat via een tweede weg bevestigt. Na een incident moet u huurders actief waarschuwen. Technisch helpen hardening van de portalen en tweestapsverificatie voor medewerkersaccounts.