# Bezpieczeństwo IT dla zarządców nieruchomości i firm deweloperskich

> Portal najemcy, zgłoszenie szkody, oświadczenie o dochodach: jak zarządcy nieruchomości zabezpieczają systemy PHP przed PHP2Shell i chronią najemców.

Źródło: https://phpsos.de/pl/branchen/immobilien-hausverwaltung/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Dla bezpieczeństwa IT zarządcy nieruchomości liczą się przede wszystkim systemy, przez które najemcy i właściciele przekazują dane: portale, zgłoszenia szkód i formularze aplikacyjne na mieszkania. Proszę ustalić, które z nich działają na Państwa własnym serwerze, kazać potwierdzić poprawkę PHP i mieć w gotowości drogę zastępczą dla pilnych zgłoszeń szkód.

## Jakich systemów PHP używają zarządcy nieruchomości i pośrednicy

Wielu zarządców pracuje z branżowym oprogramowaniem do obiektów, czynszów i rozliczeń kosztów dodatkowych. Na zewnątrz dochodzą kolejne systemy: portale najemców i właścicieli z archiwum dokumentów, formularze online do zgłaszania szkód z przesyłaniem zdjęć, oferty mieszkań z formularzem dla zainteresowanych i oświadczeniem najemcy, strefy dla zebrań właścicieli z protokołami i uchwałami.

Część z tego jest prowadzona jako usługa dostawcy oprogramowania, inna działa na własnej stronie, często WordPress z wtyczkami nieruchomości. Dla PHP2Shell rozstrzygające jest właśnie to rozróżnienie.

Dochodzą interfejsy, których w codziennej pracy prawie nikt nie zauważa: oferty nieruchomości są automatycznie przekazywane z oprogramowania branżowego na stronę i do portali nieruchomości, odczyty liczników pochodzą od firm rozliczeniowych, zlecenia dla rzemieślników przechodzą przez własne formularze. Każde z tych połączeń wymaga danych dostępowych, które często są zapisane na serwerze WWW. Po incydencie trzeba je wszystkie odnowić, w przeciwnym razie atakującemu zostaje tylna furtka do sąsiednich systemów.

## Jakie dane powierzają najemcy i właściciele

U zarządcy znajdują się umowy najmu, rachunki bankowe do poleceń zapłaty, rozliczenia kosztów dodatkowych, odczyty liczników, korespondencja o usterkach i sporach oraz zdjęcia z mieszkań. U zainteresowanych dochodzą oświadczenia z zaświadczeniami o dochodach, kopiami dowodów i informacjami o zdolności kredytowej. W portalach właścicieli znajdują się uchwały, fundusze remontowe, a częściowo informacje o systemach zamków.

Dla atakujących te dane są interesujące z dwóch powodów: umożliwiają nadużycie tożsamości i dostarczają wszystkiego, czego potrzeba do wiarygodnych e-maili oszukańczych, na przykład rzekomego nowego rachunku bankowego do opłacania czynszu. Przesyłane pliki są ponadto typową drogą ataku. Jak bezpiecznie wdrożyć przesyłanie plików, wyjaśnia poradnik [Przesyłanie plików w PHP](https://phpsos.de/pl/ratgeber/datei-upload-sicher/).

## Zarządca nieruchomości i bezpieczeństwo IT: co oznacza incydent

Jeśli portal przestaje działać, brakuje kanału dla pilnych zgłoszeń, takich jak zalania czy awarie ogrzewania. Powoduje to presję na telefon i pogotowie, ale jest do zaplanowania. Groźniejszy jest niezauważony atak:

- Najemcy otrzymują sfałszowane wezwania do zapłaty z cudzym IBAN, które podają prawdziwe dane umowy.
- Oświadczenia kandydatów na najemców są kopiowane i wykorzystywane do oszustw.
- Właściciele tracą zaufanie do zarządcy, co staje się tematem na następnym zebraniu.

Jeśli są wskazówki, że doszło do wycieku danych, może być konieczne zgłoszenie do organu nadzorczego według [reguły 72 godzin z RODO](https://phpsos.de/pl/compliance/dsgvo-meldepflicht-72-stunden/). Ocenę przeprowadzają Państwo z inspektorem ochrony danych.

> **Działać natychmiast:**
> Jeśli nikt nie potwierdza, że PHP na serwerze Państwa portalu jest załatane i zrestartowane, proszę odłączyć portal od sieci. Zgłoszenia szkód tymczasowo przekierować na telefon i pogotowie.

## Typowa luka w odpowiedzialności

| System | Eksploatacja | Kto łata PHP |
|---|---|---|
| Oprogramowanie branżowe w biurze | Opiekun IT | zwykle niedotknięte |
| Portal jako usługa dostawcy | Dostawca oprogramowania | Dostawca, zażądać potwierdzenia |
| Portal na własnym serwerze | Firma hostingowa lub usługodawca | według umowy, często niewyjaśnione |
| Strona z ofertami mieszkań | Agencja i firma hostingowa | Firma hostingowa przy hostingu |

Dochodzi do tego, że w mniejszych firmach zarządzających nikt nie ma całościowego obrazu. Agencja zna stronę, opiekun IT komputery w biurze, dostawca oprogramowania swój portal.

## Właściwie włączyć właścicieli, rady i najemców

W zarządzaniu wspólnotami mieszkaniowymi (WEG, Wohnungseigentümergemeinschaft) właściciele i rady administracyjne są nie tylko poszkodowanymi, lecz także zleceniodawcami. Mają prawo oczekiwać, że zarządca w razie incydentu zda sprawozdanie otwarcie i w sposób udokumentowany. Krótki raport z przyczyną, dotkniętymi systemami, podjętymi działaniami i otwartym stanem jest lepszy niż milczenie do następnego zebrania.

Najemcy potrzebują przede wszystkim praktycznych wskazówek: jaka droga zgłoszeń obowiązuje obecnie, że rachunki bankowe nie zmieniają się przez e-mail i komu mogą przekazywać podejrzane wiadomości. Uzgodnione teksty zapobiegają temu, by dozorca, obsługa i księgowość udzielali różnych informacji.

## Pierwsze godziny dla zarządu

1. Wypisać wszystkie portale i formularze i dla każdego ustalić, gdzie działa.
2. Kazać na piśmie potwierdzić stan poprawek do 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo backport i restart.
3. Zabezpieczyć logi od 20.10.2026, kazać sprawdzić katalogi przesyłanych plików pod kątem nieznanych plików.
4. Sprawdzić konta pracowników w portalach i po oczyszczeniu zabezpieczyć je [uwierzytelnianiem dwuskładnikowym](https://phpsos.de/pl/ratgeber/zwei-faktor-admin/).
5. Zapobiegawczo poinformować najemców, że rachunki bankowe nie zmieniają się przez e-mail.

## Jak PHP SOS pomaga w praktyce?

- Inwentaryzujemy Państwa portale i formularze oraz ustalamy z dostawcą, agencją i firmą hostingową odpowiedzialności.
- Sprawdzamy stan poprawek i restart oraz badamy katalogi przesyłanych plików i bazy danych pod kątem webshelli.
- Przy zainfekowaniu oczyszczamy w ramach [pomocy awaryjnej przy zhakowanych stronach](https://phpsos.de/pl/leistungen/website-gehackt-notfallhilfe/) i dokumentujemy incydent dla inspektora ochrony danych i ubezpieczyciela.
- Dzięki [umowie serwisowej bezpieczeństwa](https://phpsos.de/pl/leistungen/security-wartungsvertrag/) PHP na Państwa serwerach pozostaje trwale aktualne i nadzorowane.


## Częste pytania

**Nasz portal najemcy to oprogramowanie dostawcy. Czy jesteśmy dotknięci?**  
Jeśli portal działa jako usługa u dostawcy, to on odpowiada za serwer i PHP. Proszę tam zapytać na piśmie o stan. Jeśli to samo oprogramowanie działa na Państwa własnym serwerze lub u Państwa firmy hostingowej, poprawka i restart leżą po stronie Państwa lub Państwa usługodawcy.

**Które dane z oświadczenia najemcy są szczególnie wrażliwe?**  
Zaświadczenia o dochodach, kopie dowodów osobistych, informacje o zdolności kredytowej i dane o pracodawcy nadają się do nadużycia tożsamości i oszustwa. Powinny być przechowywane tylko tak długo, jak jest to potrzebne do wynajmu. Jak długo, ustalają Państwo z inspektorem ochrony danych.

**Jak zapobiegać sfałszowanym wezwaniom do zapłaty kierowanym do najemców?**  
Proszę poinformować najemców, że Państwa rachunek bankowy nie zmienia się przez e-mail ani wiadomość w portalu bez potwierdzenia inną drogą. Po incydencie powinni Państwo aktywnie ostrzec najemców. Technicznie pomagają utwardzenie portali i uwierzytelnianie dwuskładnikowe dla kont pracowników.

## Źródła

- [php.net: komunikaty bezpieczeństwa](https://www.php.net/)
- [BSI: ostrzeżenia i zalecenia](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [Art. 33 RODO: zgłoszenie do organu nadzorczego](https://dsgvo-gesetz.de/art-33-dsgvo/)