Em resumo: para a segurança informática de uma administradora de condomínios contam sobretudo os sistemas através dos quais inquilinos e proprietários enviam dados: portais, participações de danos e formulários de candidatura a habitações. Esclareça quais deles correm no seu próprio servidor, peça a confirmação do patch do PHP e tenha pronta uma via alternativa para participações de danos urgentes.
Que sistemas PHP usam as administradoras de condomínios e os mediadores
Muitas administradoras trabalham com um software setorial para imóveis, rendas e despesas acessórias. Para o exterior juntam-se outros sistemas: portais de inquilinos e de proprietários com arquivo de documentos, formulários online para participações de danos com upload de fotografias, ofertas de habitações com formulário para interessados e declaração do candidato a arrendatário (Selbstauskunft), áreas para assembleias de condóminos com atas e deliberações.
Uma parte é operada como serviço do fornecedor de software, outra corre no site próprio, muitas vezes WordPress com plugins imobiliários. Para o PHP2Shell, é precisamente esta distinção que é decisiva.
Há ainda interfaces que quase ninguém repara no dia a dia: as ofertas imobiliárias são transferidas automaticamente do software setorial para o site e para os portais imobiliários, as leituras de contadores chegam de prestadores de medição, as encomendas a artesãos correm através de formulários próprios. Cada uma destas ligações precisa de credenciais, que estão muitas vezes guardadas no servidor web. Depois de um incidente, têm todas de ser renovadas, caso contrário o atacante fica com uma porta dos fundos para sistemas adjacentes.
Que dados os inquilinos e proprietários confiam
Numa administradora de condomínios existem contratos de arrendamento, dados bancários para débitos diretos, acertos de despesas acessórias, leituras de contadores, correspondência sobre defeitos e litígios e fotografias de habitações. No caso dos interessados, juntam-se declarações com comprovativos de rendimentos, cópias de documentos de identificação e informações de crédito. Nos portais de proprietários encontram-se deliberações, fundos de reserva e, em parte, informações sobre sistemas de fecho.
Para os atacantes, estes dados são interessantes por dois motivos: permitem a usurpação de identidade e fornecem tudo o que é necessário para e-mails fraudulentos credíveis, por exemplo uma suposta nova conta bancária para a renda. Os ficheiros carregados são, além disso, uma via de ataque típica. Como se implementam uploads de forma segura, explica-o o guia Uploads de ficheiros em PHP.
Administração de condomínios e segurança informática: o que significa um incidente
Se o portal falha, falta o canal para comunicações urgentes, como danos por água ou avarias de aquecimento. Isto cria pressão sobre o telefone e o serviço de piquete, mas é planeável. Mais perigoso é um ataque não detetado:
- Os inquilinos recebem pedidos de pagamento falsificados com um IBAN alheio, que mencionam dados contratuais reais.
- As declarações de candidatos a habitações são copiadas e usadas para fraude.
- Os proprietários perdem a confiança na administração, o que se tornará tema na próxima assembleia.
Havendo indícios de fuga de dados, pode ser necessária uma notificação à autoridade de supervisão nos termos da regra das 72 horas do RGPD. A avaliação faz-se com o seu encarregado da proteção de dados.
Se ninguém confirma que o PHP no servidor do seu portal tem o patch aplicado e foi reiniciado, desligue o portal da rede. Redirecione temporariamente as participações de danos para o telefone e o serviço de piquete.
A típica lacuna de responsabilidade
| Sistema | Operação | Quem aplica o patch ao PHP |
|---|---|---|
| Software setorial no escritório | Responsável de TI | normalmente não afetado |
| Portal como serviço do fornecedor | Fornecedor de software | Fornecedor, pedir confirmação |
| Portal no servidor próprio | Fornecedor de alojamento ou prestador | segundo o contrato, muitas vezes por esclarecer |
| Site com ofertas de habitações | Agência e fornecedor de alojamento | Fornecedor de alojamento, no alojamento web |
Acresce que, nas administradoras mais pequenas, ninguém tem a visão de conjunto. A agência conhece o site, o responsável de TI os PC do escritório, o fornecedor de software o seu portal.
Envolver corretamente proprietários, conselhos de condomínio e inquilinos
Na administração de condomínios (WEG, Wohnungseigentümergemeinschaft), os proprietários e os membros do conselho de administração do condomínio não são apenas afetados, mas também mandantes. Esperam com razão que a administração relate abertamente e de forma comprovável um incidente. Um breve relatório com a causa, os sistemas afetados, as medidas tomadas e o estado em aberto é melhor do que o silêncio até à próxima assembleia.
Os inquilinos precisam sobretudo de indicações práticas: que via de comunicação está em vigor neste momento, que os dados bancários não mudam por e-mail e a quem podem encaminhar mensagens suspeitas. Textos articulados evitam que o porteiro, o serviço de gestão e a contabilidade dêem informações diferentes.
As primeiras horas para a gerência
- Listar todos os portais e formulários e esclarecer, para cada um, onde corre.
- Pedir por escrito a confirmação do nível de patch para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou do backport, e do reinício.
- Guardar os registos desde 20/10/2026 e mandar verificar nos diretórios de upload a existência de ficheiros desconhecidos.
- Verificar as contas de colaboradores dos portais e protegê-las, depois da limpeza, com autenticação de dois fatores.
- Avisar preventivamente os inquilinos de que os dados bancários não mudam por e-mail.
Como ajuda concretamente a PHP SOS?
- Registamos os seus portais e formulários e esclarecemos as responsabilidades com o fornecedor, a agência e o fornecedor de alojamento.
- Verificamos o nível de patch e o reinício e examinamos pastas de upload e bases de dados quanto a webshells.
- Em caso de infeção, limpamos no âmbito da assistência de emergência para sites hackeados e documentamos o incidente para o encarregado da proteção de dados e a seguradora.
- Com um contrato de manutenção de segurança, o PHP nos seus servidores mantém-se permanentemente atualizado e vigiado.
Perguntas frequentes
O nosso portal de inquilinos é um software de um fornecedor. Estamos afetados?
Se o portal funciona como serviço no fornecedor, este é responsável pelo servidor e pelo PHP. Pergunte-lhe por escrito qual é o estado. Se o mesmo software correr no seu próprio servidor ou no seu fornecedor de alojamento, o patch e o reinício cabem a si ou ao seu prestador de serviços.
Que dados da declaração dos candidatos a arrendatário são particularmente delicados?
Comprovativos de rendimentos, cópias de documentos de identificação, informações de crédito e dados da entidade patronal prestam-se a usurpação de identidade e a fraude. Só devem ser guardados durante o tempo necessário para o arrendamento. Quanto tempo é, esclareça-o com o seu encarregado da proteção de dados.
Como evitamos pedidos de pagamento falsificados aos inquilinos?
Comunique aos inquilinos que os seus dados bancários não mudam por e-mail ou por mensagem no portal sem que os confirme por uma segunda via. Depois de um incidente, deve avisar ativamente os inquilinos. Do ponto de vista técnico, ajudam o hardening dos portais e a autenticação de dois fatores nas contas dos colaboradores.