# Strona stowarzyszenia zhakowana? Bezpieczeństwo IT dla stowarzyszeń i związków > Strona stowarzyszenia zhakowana lub zagrożona przez PHP2Shell? Jak zarządy chronią dane członków i rachunki bankowe, nawet bez informatyka w organizacji. Źródło: https://phpsos.de/pl/branchen/vereine-verbaende/ Stan: 25.10.2026 Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6 **Krótko:** Jeśli strona Państwa stowarzyszenia została zhakowana lub działa na niezałatanym PHP, nie potrzeba dużego budżetu, ale jasnej odpowiedzialności. Jeden z członków zarządu pyta firmę hostingową o stan poprawek, zabezpiecza dostępy i w razie potrzeby decyduje o tymczasowym wyłączeniu strony. Dane członków mają przy tym pierwszeństwo przed kalendarzem wydarzeń. ## Jak zwykle zbudowane są strony stowarzyszeń Większość stron stowarzyszeń i związków działa na [WordPressie](https://phpsos.de/pl/plattformen/wordpress/) lub [Joomli](https://phpsos.de/pl/plattformen/joomla/), skonfigurowanych przez zaangażowanego członka, często przed wieloma laty. Typowe funkcje: terminy i terminarze rozgrywek, galerie zdjęć, strefa członków z protokołami, internetowe deklaracje członkowskie z mandatem polecenia zapłaty SEPA, formularze darowizn i zapisy na kursy, turnieje lub wyjazdy. Związki prowadzą dodatkowo portale dla firm członkowskich lub grup lokalnych, strefy dla organów z poufnymi dokumentami i rezerwacje seminariów. Prawie wszystko to opiera się na PHP i znajduje się na taniej usłudze [hostingu](https://phpsos.de/pl/server/shared-hosting/). ## Jakie dane członków znajdują się na serwerze Internetowe deklaracje członkowskie zawierają imiona i nazwiska, daty urodzenia, adresy i rachunki bankowe. W klubach sportowych wielu członków jest niepełnoletnich, wnioski podają wtedy także opiekunów prawnych. Niektóre informacje należą do szczególnych kategorii według art. 9 RODO, na przykład informacje zdrowotne w sporcie rehabilitacyjnym i sporcie osób z niepełnosprawnościami albo członkostwo w związkach zawodowych i wspólnotach religijnych. Często na serwerze leżą dodatkowo zapomniane pliki: listy członków jako tabela dla skarbnika, eksporty do wysyłki czasopisma stowarzyszenia, stare kopie zapasowe. Właśnie one są podczas ataku szybko skopiowane. W związkach dochodzą inne dane: osoby kontaktowe i wskaźniki firm członkowskich, projekty stanowisk, protokoły z posiedzeń zarządu i komisji fachowych. To, co omawiano tam poufnie, może przy wycieku osłabić pozycje negocjacyjne lub poróżnić członków. Dla związków strefa członków jest więc często bardziej wrażliwa niż publiczna strona. ## Stowarzyszenie i zhakowana strona: co to konkretnie oznacza - **Nadużycie danych bankowych:** Mając imię i IBAN, można przygotować sfałszowane polecenia zapłaty lub e-maile oszukańcze w imieniu stowarzyszenia. - **Reputacja w gminie:** Strona stowarzyszenia, która przekierowuje na wątpliwe oferty, rzuca się w oczy członkom, sponsorom i lokalnej prasie. - **Obowiązek zgłoszenia:** Także stowarzyszenia są administratorami według RODO. Przy wycieku danych może być konieczne zgłoszenie do organu nadzorczego w ciągu 72 godzin. Większe stowarzyszenia mają do tego inspektora ochrony danych, mniejsze zwracają się do organizacji nadrzędnej lub doradztwa prawnego. ## Typowa luka: wolontariat i zmiana zarządu W stowarzyszeniu szczegóły techniczne zna często tylko jedna osoba. Gdy odejdzie lub zmieni się zarząd, brakuje danych dostępowych i nikt nie wie, jaka wersja PHP działa. Aktualizacja CMS nie zamyka PHP2Shell. Za PHP przy zwykłym hostingu odpowiada firma hostingowa, ale zapytanie musi wyjść od stowarzyszenia. > **Wskazówka:** > Proszę ustalić w zarządzie, kto odpowiada za stronę, i zapisać dostępy do domeny, hostingu i panelu administracyjnego tak, aby miały do nich dostęp co najmniej dwie osoby. Konta administratorów warto chronić [uwierzytelnianiem dwuskładnikowym](https://phpsos.de/pl/ratgeber/zwei-faktor-admin/). ## Pierwsze kroki dla zarządu 1. Zapytać firmę hostingową na piśmie: Czy PHP dla naszego pakietu zostało zaktualizowane do 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo załatane przez backport i zrestartowane? 2. Bez jasnej odpowiedzi lub przy nieprawidłowościach tymczasowo wyłączyć stronę. Terminy można w tym czasie rozsyłać e-mailem do wszystkich. 3. Poprosić firmę hostingową o przechowanie logów od 20.10.2026. 4. Usunąć z serwera stare listy członków, eksporty i nieużywane wtyczki oraz skasować zbędne konta administratorów. 5. Przy wskazówkach na wyciek danych włączyć inspektora ochrony danych lub organizację nadrzędną. ## Rozsądne ustalanie priorytetów przy małym budżecie Żadne stowarzyszenie nie musi wdrożyć każdego środka bezpieczeństwa naraz. Rozsądna jest kolejność według szkody: najpierw chronić lub usunąć wszystko, co zawiera rachunki bankowe i dane dzieci. Potem strony z logowaniem, czyli strefa członków i dostęp administratora. Na końcu terminy, sprawozdania i galerie, które i tak są publiczne. Często najtańszym rozwiązaniem jest oddanie funkcji zamiast prowadzenia ich samemu. Deklaracje członkowskie i mandaty polecenia zapłaty można obsługiwać przez system zarządzania stowarzyszeniem prowadzony przez dostawcę, zamiast przez samodzielnie zbudowany formularz. Związki z portalami dla firm członkowskich powinny sprawdzić, czy znajdują się tam poufne dokumenty organów, które lepiej byłoby przechowywać w osobno chronionym systemie. Im mniej danych leży na stronie stowarzyszenia, tym mniejszy wysiłek powoduje następna luka. ## Jak PHP SOS pomaga w praktyce? - Pomagamy zarządowi odzyskać dostępy i ustalamy z firmą hostingową stan poprawek. - Przy podejrzeniu sprawdzamy stronę pod kątem złośliwego kodu i nieznanych kont oraz oczyszczamy ją w ramach naszej [pomocy awaryjnej](https://phpsos.de/pl/leistungen/website-gehackt-notfallhilfe/). - Porządkujemy celowo: to, czego stowarzyszenie nie potrzebuje, jest usuwane zamiast dalej zabezpieczane. - Przekazujemy Państwu krótką, zrozumiałą dokumentację, aby także następny zarząd wiedział, co gdzie leży. ## Częste pytania **Czy zarząd ponosi odpowiedzialność, jeśli strona stowarzyszenia zostanie zhakowana?** Stowarzyszenie odpowiada za dane swoich członków, a zarząd reprezentuje stowarzyszenie. To, czy i w jakim zakresie wchodzi w grę odpowiedzialność osobista, zależy od przypadku i statutu. To pytanie do doradztwa prawnego lub organizacji nadrzędnej. **Nasz webmaster odszedł. Jak odzyskać dostępy?** Stroną umowy z firmą hostingową jest zwykle stowarzyszenie. Po przedstawieniu dowodu uprawnień do reprezentacji, na przykład wypisu z rejestru, zarząd może kazać firmie hostingowej zresetować dostępy. Potem dane dostępowe powinny znajdować się w jednym miejscu, do którego dostęp ma co najmniej dwóch członków zarządu. **Co nic nie kosztuje i pomaga od razu?** Zapytać firmę hostingową na piśmie o stan poprawek PHP, usunąć nieużywane konta administratorów, usunąć niepotrzebne już wtyczki i skasować z serwera stare eksporty członków. To wyraźnie obniża ryzyko, ale nie zastępuje kontroli, jeśli występują już oznaki włamania. ## Źródła - [php.net: komunikaty bezpieczeństwa](https://www.php.net/) - [BSI: ostrzeżenia i zalecenia](https://www.bsi.bund.de/) - [Art. 33 RODO: zgłoszenie do organu nadzorczego](https://dsgvo-gesetz.de/art-33-dsgvo/)