Stručne: Pre IT bezpečnosť správy nehnuteľností sa počítajú predovšetkým systémy, cez ktoré nájomcovia a vlastníci odovzdávajú údaje: portály, hlásenia škôd a prihlasovacie formuláre na byty. Vyjasnite, ktoré z nich bežia na vašom vlastnom serveri, nechajte si potvrdiť záplatu PHP a majte pripravenú náhradnú cestu pre naliehavé hlásenia škôd.
Ktoré systémy PHP využívajú správcovia domov a makléri
Mnohé správy pracujú s odborným softvérom pre objekty, nájomné a vyúčtovanie služieb. Navonok pristupujú ďalšie systémy: portály nájomcov a vlastníkov s úložiskom dokumentov, online formuláre na hlásenie škôd s nahrávaním fotografií, ponuky bytov s formulárom pre záujemcov a čestným vyhlásením nájomcu, oblasti pre zhromaždenia vlastníkov s protokolmi a uzneseniami.
Časť z toho sa prevádzkuje ako služba poskytovateľa softvéru, iná časť beží na vlastnom webe, často WordPress s pluginmi pre nehnuteľnosti. Pre PHP2Shell je rozhodujúci práve tento rozdiel.
K tomu pristupujú rozhrania, ktorých si v bežnej prevádzke sotva niekto všimne: ponuky nehnuteľností sa automaticky prenášajú z odborného softvéru na web a na realitné portály, stavy meračov prichádzajú od poskytovateľov meraní, zákazky remeselníkom prebiehajú cez vlastné formuláre. Každé z týchto spojení potrebuje prístupové údaje, ktoré sú často uložené na webovom serveri. Po incidente sa musia obnoviť všetky, inak útočníkovi zostanú zadné vrátka do susedných systémov.
Ktoré údaje nájomcovia a vlastníci zverujú
V správe domov sa nachádzajú nájomné zmluvy, bankové spojenia pre inkasá, vyúčtovania služieb, stavy meračov, korešpondencia o nedostatkoch a sporných prípadoch, ako aj fotografie z bytov. U záujemcov pristupujú čestné vyhlásenia s dokladmi o príjmoch, kópiami dokladov totožnosti a informáciami o bonite. V portáloch vlastníkov sú uznesenia, rezervné fondy a čiastočne informácie o zámkových systémoch.
Pre útočníkov sú tieto údaje zaujímavé z dvoch dôvodov: umožňujú zneužitie identity a dodávajú všetko, čo je potrebné na dôveryhodné podvodné e-maily, napríklad údajné nové bankové spojenie na nájomné. Nahrané súbory sú navyše typickou cestou útoku. Ako sa nahrávanie rieši bezpečne, vysvetľuje príručka Nahrávanie súborov v PHP.
Správa nehnuteľností a IT bezpečnosť: čo incident znamená
Ak portál vypadne, chýba kanál pre naliehavé hlásenia, ako sú vodné škody alebo výpadky kúrenia. To vytvára tlak na telefón a pohotovostnú službu, ale dá sa to naplánovať. Nebezpečnejší je nepozorovaný útok:
- Nájomcovia dostávajú falošné výzvy na platbu s cudzím IBAN, ktoré uvádzajú skutočné údaje zo zmluvy.
- Čestné vyhlásenia uchádzačov o byt sa kopírujú a zneužívajú na podvod.
- Vlastníci strácajú dôveru v správcu, čo sa na ďalšom zhromaždení stane témou.
Ak existujú náznaky úniku údajov, môže byť potrebné oznámenie dozornému orgánu podľa 72-hodinového pravidla GDPR. Posúdenie urobíte so svojou zodpovednou osobou za ochranu údajov.
Ak nikto nepotvrdí, že PHP na serveri vášho portálu je záplatované a reštartované, odpojte portál od siete. Hlásenia škôd dočasne presmerujte na telefón a pohotovostnú službu.
Typická medzera v zodpovednosti
| Systém | Prevádzka | Kto záplatuje PHP |
|---|---|---|
| Odborný softvér v kancelárii | IT správca | väčšinou nie je dotknutý |
| Portál ako služba poskytovateľa | poskytovateľ softvéru | poskytovateľ, vyžiadať potvrdenie |
| Portál na vlastnom serveri | poskytovateľ hostingu alebo dodávateľ | podľa zmluvy, často nevyjasnené |
| Web s ponukami bytov | agentúra a poskytovateľ hostingu | poskytovateľ hostingu pri webhostingu |
K tomu pristupuje, že v menších správach nikto nemá celkový prehľad. Agentúra pozná web, IT správca kancelárske počítače, poskytovateľ softvéru svoj portál.
Správne zapojiť vlastníkov, poradné orgány a nájomcov
V správe spoločenstiev vlastníkov bytov (WEG) nie sú vlastníci a správcovské výbory len dotknutými, ale aj zadávateľmi. Právom očakávajú, že správca bude pri incidente informovať otvorene a doložiteľne. Krátka správa s príčinou, dotknutými systémami, prijatými opatreniami a otvoreným stavom je lepšia než mlčanie do ďalšieho zhromaždenia.
Nájomcovia potrebujú predovšetkým praktické pokyny: ktorá cesta hlásenia práve platí, že sa bankové spojenia nemenia e-mailom a komu môžu preposlať podozrivé správy. Zosúladené texty bránia tomu, aby domový majster (Hausmeister), referenti a účtovníctvo poskytovali rôzne informácie.
Prvé hodiny pre vedenie
- Vypísať všetky portály a formuláre a pre každý vyjasniť, kde beží.
- Nechať písomne potvrdiť stav záplat na 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. backport, a reštart.
- Zálohovať logy od 20. 10. 2026, nechať skontrolovať adresáre pre nahrávanie na neznáme súbory.
- Skontrolovať účty zamestnancov v portáloch a po vyčistení ich zabezpečiť dvojfaktorovým prihlásením.
- Nájomcov preventívne upozorniť, že sa bankové spojenia nemenia e-mailom.
Ako konkrétne pomáha PHP SOS?
- Zmapujeme vaše portály a formuláre a s poskytovateľom, agentúrou a poskytovateľom hostingu vyjasníme zodpovednosti.
- Preveríme stav záplat a reštart a preskúmame adresáre pre nahrávanie a databázy na webshelly.
- Pri napadnutí vyčistíme v rámci núdzovej pomoci pri hacknutých weboch a incident zdokumentujeme pre zodpovednú osobu za ochranu údajov a poisťovateľa.
- S bezpečnostnou zmluvou o údržbe zostane PHP na vašich serveroch trvalo aktuálne a monitorované.
Časté otázky
Náš portál nájomcov je softvér od poskytovateľa. Týka sa nás to?
Ak portál beží ako služba u poskytovateľa, zodpovedá za server a PHP on. Opýtajte sa tam písomne na stav. Ak ten istý softvér beží na vašom vlastnom serveri alebo u vášho poskytovateľa hostingu, záplata a reštart sú na vás alebo vašom dodávateľovi.
Ktoré údaje z čestného vyhlásenia nájomcu sú obzvlášť citlivé?
Doklady o príjmoch, kópie dokladov totožnosti, informácie o bonite a údaje o zamestnávateľovi sa hodia na zneužitie identity a podvod. Mali by sa uchovávať len tak dlho, ako je potrebné na prenájom. Ako dlho, vyjasnite so svojou zodpovednou osobou za ochranu údajov.
Ako zabránime falošným výzvam na platbu nájomcom?
Oznámte nájomcom, že sa vaše bankové spojenie nemení e-mailom ani správou v portáli bez toho, aby ste to potvrdili druhou cestou. Po incidente by ste nájomcov mali aktívne upozorniť. Technicky pomáhajú hardening portálov a dvojfaktorové prihlásenie pre účty zamestnancov.