Em resumo: se o site da sua associação foi hackeado ou está num PHP sem patch, não é preciso um grande orçamento, mas sim uma responsabilidade clara. Um membro da direção pergunta ao fornecedor de alojamento qual é o nível de patch, protege os acessos e, se necessário, decide desligar o site temporariamente. Os dados dos associados têm aqui prioridade sobre o calendário de eventos.
Como estão tipicamente construídos os sites de associações
A maioria dos sites de associações e federações corre em WordPress ou Joomla, configurados por um associado empenhado, muitas vezes há muitos anos. Funções típicas: datas e calendários de jogos, galerias de fotografias, uma área de associados com atas, pedidos de adesão online com mandato de débito direto SEPA, formulários de donativos e inscrições em cursos, torneios ou viagens.
As federações operam adicionalmente portais para empresas associadas ou grupos locais, áreas de órgãos com documentos confidenciais e reservas de seminários. Quase tudo isto se baseia em PHP e está em alojamento web barato.
Que dados de associados existem no servidor
Os pedidos de adesão online contêm nomes, datas de nascimento, moradas e dados bancários. Nas associações desportivas, muitos associados são menores, e os pedidos indicam então também os encarregados de educação. Algumas indicações pertencem às categorias especiais nos termos do Art. 9 do RGPD, por exemplo indicações de saúde no desporto de reabilitação e para pessoas com deficiência, ou a filiação em sindicatos e comunidades religiosas.
Muitas vezes existem ainda ficheiros esquecidos no servidor: listas de associados em folha de cálculo para o tesoureiro, exportações para o envio da revista da associação, cópias de segurança antigas. São precisamente estes que se copiam depressa num ataque.
No caso das federações, juntam-se outros dados: interlocutores e indicadores de empresas associadas, tomadas de posição em minuta, atas de reuniões da direção e de comissões técnicas. O que aí foi discutido de forma confidencial pode, numa fuga, enfraquecer posições negociais ou pôr associados uns contra os outros. Para as federações, a área de associados é por isso muitas vezes mais delicada do que o site público.
Associação e site hackeado: o que isso significa concretamente
- Abuso de dados bancários: com nomes e IBAN preparam-se débitos diretos falsificados ou e-mails fraudulentos em nome da associação.
- Reputação na comunidade: um site de associação que redireciona para ofertas duvidosas chama a atenção de associados, patrocinadores e da imprensa local.
- Obrigação de notificação: também as associações são responsáveis pelo tratamento nos termos do RGPD. Numa fuga de dados, pode ser necessária uma notificação à autoridade de supervisão no prazo de 72 horas. As associações maiores têm para isso um encarregado da proteção de dados; as mais pequenas recorrem à federação ou a aconselhamento jurídico.
A lacuna típica: voluntariado e mudança de direção
Numa associação, muitas vezes só uma pessoa conhece os pormenores técnicos. Se sai ou se a direção muda, faltam as credenciais e ninguém sabe que versão do PHP está a correr. Uma atualização do CMS não fecha o PHP2Shell. No alojamento web normal, o responsável pelo PHP é o fornecedor de alojamento, mas a pergunta tem de partir da associação.
Defina na direção quem é responsável pelo site e guarde os acessos ao domínio, ao alojamento e à área de administração de modo que pelo menos duas pessoas possam aceder-lhes. Proteja as contas de administrador com autenticação de dois fatores.
Primeiros passos para a direção
- Perguntar por escrito ao fornecedor de alojamento: o PHP do nosso pacote foi atualizado para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou tem o patch aplicado por backport, e foi reiniciado?
- Sem resposta clara ou em caso de anomalias, desligar o site temporariamente. Durante esse período, as datas podem ser distribuídas por circular.
- Pedir ao fornecedor de alojamento que conserve os registos desde 20/10/2026.
- Remover do servidor listas de associados antigas, exportações e plugins não utilizados e apagar as contas de administrador a mais.
- Havendo indícios de fuga de dados, envolver o encarregado da proteção de dados ou a federação.
Priorizar com sentido com um orçamento pequeno
Nenhuma associação tem de implementar todas as medidas de segurança de uma só vez. Faz sentido uma ordem segundo o dano: primeiro proteger ou remover tudo o que contém dados bancários e dados de crianças. Depois as páginas com início de sessão, ou seja, a área de associados e o acesso de administração. Por último, datas, relatórios e galerias, que de qualquer modo são públicos.
Muitas vezes, a solução mais barata é entregar funções em vez de as operar por si. Os pedidos de adesão e os mandatos de débito direto podem ser tratados através de uma gestão de associação operada por um fornecedor, em vez de um formulário construído por si. As federações com portais para empresas associadas devem verificar se aí existem documentos confidenciais de órgãos que ficariam melhor num sistema protegido em separado. Quanto menos dados houver no site da associação, menos esforço causa a próxima vulnerabilidade.
Como ajuda concretamente a PHP SOS?
- Ajudamos a direção a recuperar os acessos e esclarecemos com o fornecedor de alojamento o nível de patch.
- Em caso de suspeita, verificamos o site quanto a código malicioso e contas desconhecidas e limpamo-lo através da nossa assistência de emergência.
- Arrumamos de forma orientada: o que uma associação não precisa é removido, em vez de continuar a ser protegido.
- Entregamos-lhe uma passagem de testemunho curta e compreensível, para que também a próxima direção saiba o que está onde.
Perguntas frequentes
A direção responde se o site da associação for hackeado?
A associação é responsável pelos dados dos seus associados, e a direção representa a associação. Se e até que ponto entra em consideração uma responsabilidade pessoal depende do caso concreto e dos estatutos. É uma questão para aconselhamento jurídico ou para a federação de que faz parte.
O nosso webmaster saiu. Como obtemos os acessos?
Parte contratante do fornecedor de alojamento é, em regra, a associação. Com um comprovativo de poderes de representação, por exemplo uma certidão do registo, a direção pode pedir ao fornecedor de alojamento a reposição dos acessos. Depois, as credenciais devem ficar num local a que pelo menos dois membros da direção tenham acesso.
O que não custa nada e ajuda de imediato?
Perguntar por escrito ao fornecedor de alojamento qual é o nível de patch do PHP, apagar contas de administrador não utilizadas, remover plugins que já não são necessários e apagar do servidor exportações antigas de associados. Isto reduz o risco de forma clara, mas não substitui uma verificação quando já existem sinais de ataque.