Em resumo: na segurança informática de um escritório de advogados, conta cada sistema através do qual os clientes enviam ou consultam documentos. Apure quais deles correm em PHP, peça a confirmação do nível de patch e do reinício e trate qualquer caso suspeito de forma a preservar provas e confidencialidade.
Onde os escritórios usam PHP, muitas vezes sem o saber
O software do escritório propriamente dito fica normalmente no próprio escritório ou num centro de dados especializado. O PHP encontra-se noutros sítios: no site do escritório, com formulário para o primeiro contacto, em circuitos de upload de documentos, em marcações de consulta online e em salas de dados operadas por si. Muitos escritórios usam, para a troca segura de documentos, um Nextcloud próprio, configurado por uma empresa de sistemas.
São precisamente estas salas de dados que contêm o mais sensível que um escritório tem: peças processuais, procurações, contratos em minuta, pareceres, fotografias probatórias e, em processos penais, também autos de investigação. O PHP2Shell permite aos atacantes executar código sem autenticação. Uma palavra-passe forte no portal não ajuda contra isso.
Os escritórios com áreas como direito da família, do trabalho ou da saúde tratam adicionalmente indicações de saúde, pareceres e pormenores da vida privada. Nos escritórios de direito comercial há documentos sobre transações que, antes da sua publicação, podem ser relevantes para a cotação. O material que se encontra nos seus portais determina a gravidade de um incidente.
Sigilo profissional e proteção de dados: o que significa uma fuga
Para advogados e advogadas aplica-se um dever de sigilo de direito profissional. A divulgação não autorizada de segredos de clientes pode ser punível nos termos do § 203 StGB (Código Penal alemão). A isto juntam-se as obrigações do RGPD, entre as quais, havendo referência a saúde ou a processos penais, categorias especiais de dados.
Uma fuga de dados atinge por isso os escritórios duas vezes. Põe em risco mandatos em curso, quando, por exemplo, posições negociais ou minutas de acordos chegam às mãos erradas. E danifica a confiança em que assenta a relação de mandato. Se e como tem de informar os clientes e a autoridade de supervisão, avalie-o com o seu encarregado da proteção de dados e com aconselhamento de direito profissional.
O site do escritório como instrumento de fraude
Um servidor de escritório comprometido serve os atacantes não só como fonte de dados. Com papel timbrado, números de processo e nomes reais de um portal de clientes, é possível falsificar cartas que dificilmente se distinguem das verdadeiras. São particularmente delicados os pedidos de pagamento, por exemplo de montantes de acordos ou de honorários, com dados bancários alterados.
Também o formulário do primeiro contacto pode ser abusado: um atacante redireciona os pedidos para um endereço próprio e contacta os interessados em nome do escritório. Depois de um incidente, não deve por isso mandar verificar apenas o servidor, mas alertar ativamente os clientes de que nunca alterará dados bancários por e-mail.
A caixa de correio eletrónica especial dos advogados (beA) e o software do escritório não correm no seu servidor web. O perigo surge onde, no servidor web, estão guardadas credenciais de contas de correio ou de outros sistemas do escritório.
Segurança informática do escritório: quem é responsável por quê?
Nos escritórios sem departamento de TI próprio, as tarefas distribuem-se normalmente assim:
| Sistema | Quem o gere | Questão em aberto no PHP2Shell |
|---|---|---|
| Software do escritório, postos de trabalho | Empresa de sistemas | normalmente não afetado |
| Nextcloud ou sala de dados | Empresa de sistemas ou fornecedor de alojamento | Quem aplica o patch ao PHP e reinicia? |
| Site com formulários | Agência web | Corre no fornecedor de alojamento com PHP atual? |
| Marcação de consultas online | Prestador externo ou plugin | Onde ficam os assuntos dos clientes? |
A lacuna surge onde a empresa de sistemas considera o site assunto da agência e a agência considera o servidor assunto do fornecedor de alojamento. Registe por escrito, para cada sistema, quem atualiza o PHP e reinicia os processos.
Não limpe um servidor suspeito de forma precipitada. Quem o reinstala antes de os vestígios estarem preservados já não poderá provar mais tarde se, e quais, dados de clientes foram extraídos.
As primeiras horas: agir de forma confidencial e rastreável
- Bloquear os portais e salas de dados afetados para os clientes, continuando o trabalho interno através do software do escritório.
- Guardar os registos desde 20/10/2026 e preservar o estado do servidor antes de alguém apagar ficheiros.
- Pedir por escrito ao operador o nível de patch e o reinício. Um número de versão apresentado não basta, porque os backports podem deixá-lo inalterado.
- Definir um círculo reduzido que fale sobre o incidente e preparar a comunicação para o exterior.
- Envolver o encarregado da proteção de dados e ter presente o prazo de notificação do RGPD.
Como ajuda concretamente a PHP SOS?
- Antes do primeiro acesso, regulamos por escrito a confidencialidade e limitamos o acesso ao necessário.
- Verificamos o nível de patch, o modo de operação e o reinício de todos os sistemas PHP do escritório acessíveis a partir da Internet.
- Em caso de suspeita, preservamos vestígios de forma forense, para que mais tarde se possa comprovar a que se acedeu. Pormenores na nossa página sobre perícia forense informática.
- Limpamos e reforçamos os sistemas e documentamos cada passo para a direção do escritório, o encarregado da proteção de dados e a seguradora.
- Se desejar, assumimos a manutenção contínua dos portais, para que a próxima vulnerabilidade do PHP não volte a ficar entre a empresa de sistemas e a agência.
Perguntas frequentes
O software do nosso escritório está afetado pelo PHP2Shell?
O software propriamente dito do escritório não corre, na maioria dos casos, num servidor web PHP. Podem estar afetados o site, formulários de upload, salas de dados operadas por si, como o Nextcloud, e portais construídos sobre PHP. Um levantamento de todos os sistemas acessíveis pela Internet traz clareza.
Pode um prestador externo de TI aceder a dados de clientes durante um incidente?
O direito profissional e o § 203 StGB (Código Penal alemão) permitem a intervenção de prestadores colaboradores sob certas condições, em especial uma obrigação de confidencialidade. Os requisitos que se aplicam em concreto ao seu escritório devem ser verificados à luz do direito profissional. Nós regulamos a confidencialidade por escrito antes do primeiro acesso.
Temos de informar os clientes sobre um ataque?
Havendo risco para os direitos dos titulares dos dados, o RGPD pode exigir uma comunicação; além disso, há considerações de direito profissional. A decisão pertence à direção do escritório e ao encarregado da proteção de dados. Uma comunicação articulada evita declarações contraditórias.