Krótko: Dla bezpieczeństwa IT zarządcy nieruchomości liczą się przede wszystkim systemy, przez które najemcy i właściciele przekazują dane: portale, zgłoszenia szkód i formularze aplikacyjne na mieszkania. Proszę ustalić, które z nich działają na Państwa własnym serwerze, kazać potwierdzić poprawkę PHP i mieć w gotowości drogę zastępczą dla pilnych zgłoszeń szkód.
Jakich systemów PHP używają zarządcy nieruchomości i pośrednicy
Wielu zarządców pracuje z branżowym oprogramowaniem do obiektów, czynszów i rozliczeń kosztów dodatkowych. Na zewnątrz dochodzą kolejne systemy: portale najemców i właścicieli z archiwum dokumentów, formularze online do zgłaszania szkód z przesyłaniem zdjęć, oferty mieszkań z formularzem dla zainteresowanych i oświadczeniem najemcy, strefy dla zebrań właścicieli z protokołami i uchwałami.
Część z tego jest prowadzona jako usługa dostawcy oprogramowania, inna działa na własnej stronie, często WordPress z wtyczkami nieruchomości. Dla PHP2Shell rozstrzygające jest właśnie to rozróżnienie.
Dochodzą interfejsy, których w codziennej pracy prawie nikt nie zauważa: oferty nieruchomości są automatycznie przekazywane z oprogramowania branżowego na stronę i do portali nieruchomości, odczyty liczników pochodzą od firm rozliczeniowych, zlecenia dla rzemieślników przechodzą przez własne formularze. Każde z tych połączeń wymaga danych dostępowych, które często są zapisane na serwerze WWW. Po incydencie trzeba je wszystkie odnowić, w przeciwnym razie atakującemu zostaje tylna furtka do sąsiednich systemów.
Jakie dane powierzają najemcy i właściciele
U zarządcy znajdują się umowy najmu, rachunki bankowe do poleceń zapłaty, rozliczenia kosztów dodatkowych, odczyty liczników, korespondencja o usterkach i sporach oraz zdjęcia z mieszkań. U zainteresowanych dochodzą oświadczenia z zaświadczeniami o dochodach, kopiami dowodów i informacjami o zdolności kredytowej. W portalach właścicieli znajdują się uchwały, fundusze remontowe, a częściowo informacje o systemach zamków.
Dla atakujących te dane są interesujące z dwóch powodów: umożliwiają nadużycie tożsamości i dostarczają wszystkiego, czego potrzeba do wiarygodnych e-maili oszukańczych, na przykład rzekomego nowego rachunku bankowego do opłacania czynszu. Przesyłane pliki są ponadto typową drogą ataku. Jak bezpiecznie wdrożyć przesyłanie plików, wyjaśnia poradnik Przesyłanie plików w PHP.
Zarządca nieruchomości i bezpieczeństwo IT: co oznacza incydent
Jeśli portal przestaje działać, brakuje kanału dla pilnych zgłoszeń, takich jak zalania czy awarie ogrzewania. Powoduje to presję na telefon i pogotowie, ale jest do zaplanowania. Groźniejszy jest niezauważony atak:
- Najemcy otrzymują sfałszowane wezwania do zapłaty z cudzym IBAN, które podają prawdziwe dane umowy.
- Oświadczenia kandydatów na najemców są kopiowane i wykorzystywane do oszustw.
- Właściciele tracą zaufanie do zarządcy, co staje się tematem na następnym zebraniu.
Jeśli są wskazówki, że doszło do wycieku danych, może być konieczne zgłoszenie do organu nadzorczego według reguły 72 godzin z RODO. Ocenę przeprowadzają Państwo z inspektorem ochrony danych.
Jeśli nikt nie potwierdza, że PHP na serwerze Państwa portalu jest załatane i zrestartowane, proszę odłączyć portal od sieci. Zgłoszenia szkód tymczasowo przekierować na telefon i pogotowie.
Typowa luka w odpowiedzialności
| System | Eksploatacja | Kto łata PHP |
|---|---|---|
| Oprogramowanie branżowe w biurze | Opiekun IT | zwykle niedotknięte |
| Portal jako usługa dostawcy | Dostawca oprogramowania | Dostawca, zażądać potwierdzenia |
| Portal na własnym serwerze | Firma hostingowa lub usługodawca | według umowy, często niewyjaśnione |
| Strona z ofertami mieszkań | Agencja i firma hostingowa | Firma hostingowa przy hostingu |
Dochodzi do tego, że w mniejszych firmach zarządzających nikt nie ma całościowego obrazu. Agencja zna stronę, opiekun IT komputery w biurze, dostawca oprogramowania swój portal.
Właściwie włączyć właścicieli, rady i najemców
W zarządzaniu wspólnotami mieszkaniowymi (WEG, Wohnungseigentümergemeinschaft) właściciele i rady administracyjne są nie tylko poszkodowanymi, lecz także zleceniodawcami. Mają prawo oczekiwać, że zarządca w razie incydentu zda sprawozdanie otwarcie i w sposób udokumentowany. Krótki raport z przyczyną, dotkniętymi systemami, podjętymi działaniami i otwartym stanem jest lepszy niż milczenie do następnego zebrania.
Najemcy potrzebują przede wszystkim praktycznych wskazówek: jaka droga zgłoszeń obowiązuje obecnie, że rachunki bankowe nie zmieniają się przez e-mail i komu mogą przekazywać podejrzane wiadomości. Uzgodnione teksty zapobiegają temu, by dozorca, obsługa i księgowość udzielali różnych informacji.
Pierwsze godziny dla zarządu
- Wypisać wszystkie portale i formularze i dla każdego ustalić, gdzie działa.
- Kazać na piśmie potwierdzić stan poprawek do 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo backport i restart.
- Zabezpieczyć logi od 20.10.2026, kazać sprawdzić katalogi przesyłanych plików pod kątem nieznanych plików.
- Sprawdzić konta pracowników w portalach i po oczyszczeniu zabezpieczyć je uwierzytelnianiem dwuskładnikowym.
- Zapobiegawczo poinformować najemców, że rachunki bankowe nie zmieniają się przez e-mail.
Jak PHP SOS pomaga w praktyce?
- Inwentaryzujemy Państwa portale i formularze oraz ustalamy z dostawcą, agencją i firmą hostingową odpowiedzialności.
- Sprawdzamy stan poprawek i restart oraz badamy katalogi przesyłanych plików i bazy danych pod kątem webshelli.
- Przy zainfekowaniu oczyszczamy w ramach pomocy awaryjnej przy zhakowanych stronach i dokumentujemy incydent dla inspektora ochrony danych i ubezpieczyciela.
- Dzięki umowie serwisowej bezpieczeństwa PHP na Państwa serwerach pozostaje trwale aktualne i nadzorowane.
Częste pytania
Nasz portal najemcy to oprogramowanie dostawcy. Czy jesteśmy dotknięci?
Jeśli portal działa jako usługa u dostawcy, to on odpowiada za serwer i PHP. Proszę tam zapytać na piśmie o stan. Jeśli to samo oprogramowanie działa na Państwa własnym serwerze lub u Państwa firmy hostingowej, poprawka i restart leżą po stronie Państwa lub Państwa usługodawcy.
Które dane z oświadczenia najemcy są szczególnie wrażliwe?
Zaświadczenia o dochodach, kopie dowodów osobistych, informacje o zdolności kredytowej i dane o pracodawcy nadają się do nadużycia tożsamości i oszustwa. Powinny być przechowywane tylko tak długo, jak jest to potrzebne do wynajmu. Jak długo, ustalają Państwo z inspektorem ochrony danych.
Jak zapobiegać sfałszowanym wezwaniom do zapłaty kierowanym do najemców?
Proszę poinformować najemców, że Państwa rachunek bankowy nie zmienia się przez e-mail ani wiadomość w portalu bez potwierdzenia inną drogą. Po incydencie powinni Państwo aktywnie ostrzec najemców. Technicznie pomagają utwardzenie portali i uwierzytelnianie dwuskładnikowe dla kont pracowników.