# IT bezpečnosť pre správcov domov a realitné spoločnosti > Portál nájomcov, hlásenie škôd, čestné vyhlásenie: ako správcovia domov a realitné firmy zabezpečia systémy PHP proti PHP2Shell a ochránia nájomcov. Zdroj: https://phpsos.de/sk/branchen/immobilien-hausverwaltung/ Stav: 25.10.2026 Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručne:** Pre IT bezpečnosť správy nehnuteľností sa počítajú predovšetkým systémy, cez ktoré nájomcovia a vlastníci odovzdávajú údaje: portály, hlásenia škôd a prihlasovacie formuláre na byty. Vyjasnite, ktoré z nich bežia na vašom vlastnom serveri, nechajte si potvrdiť záplatu PHP a majte pripravenú náhradnú cestu pre naliehavé hlásenia škôd. ## Ktoré systémy PHP využívajú správcovia domov a makléri Mnohé správy pracujú s odborným softvérom pre objekty, nájomné a vyúčtovanie služieb. Navonok pristupujú ďalšie systémy: portály nájomcov a vlastníkov s úložiskom dokumentov, online formuláre na hlásenie škôd s nahrávaním fotografií, ponuky bytov s formulárom pre záujemcov a čestným vyhlásením nájomcu, oblasti pre zhromaždenia vlastníkov s protokolmi a uzneseniami. Časť z toho sa prevádzkuje ako služba poskytovateľa softvéru, iná časť beží na vlastnom webe, často WordPress s pluginmi pre nehnuteľnosti. Pre PHP2Shell je rozhodujúci práve tento rozdiel. K tomu pristupujú rozhrania, ktorých si v bežnej prevádzke sotva niekto všimne: ponuky nehnuteľností sa automaticky prenášajú z odborného softvéru na web a na realitné portály, stavy meračov prichádzajú od poskytovateľov meraní, zákazky remeselníkom prebiehajú cez vlastné formuláre. Každé z týchto spojení potrebuje prístupové údaje, ktoré sú často uložené na webovom serveri. Po incidente sa musia obnoviť všetky, inak útočníkovi zostanú zadné vrátka do susedných systémov. ## Ktoré údaje nájomcovia a vlastníci zverujú V správe domov sa nachádzajú nájomné zmluvy, bankové spojenia pre inkasá, vyúčtovania služieb, stavy meračov, korešpondencia o nedostatkoch a sporných prípadoch, ako aj fotografie z bytov. U záujemcov pristupujú čestné vyhlásenia s dokladmi o príjmoch, kópiami dokladov totožnosti a informáciami o bonite. V portáloch vlastníkov sú uznesenia, rezervné fondy a čiastočne informácie o zámkových systémoch. Pre útočníkov sú tieto údaje zaujímavé z dvoch dôvodov: umožňujú zneužitie identity a dodávajú všetko, čo je potrebné na dôveryhodné podvodné e-maily, napríklad údajné nové bankové spojenie na nájomné. Nahrané súbory sú navyše typickou cestou útoku. Ako sa nahrávanie rieši bezpečne, vysvetľuje príručka [Nahrávanie súborov v PHP](https://phpsos.de/sk/ratgeber/datei-upload-sicher/). ## Správa nehnuteľností a IT bezpečnosť: čo incident znamená Ak portál vypadne, chýba kanál pre naliehavé hlásenia, ako sú vodné škody alebo výpadky kúrenia. To vytvára tlak na telefón a pohotovostnú službu, ale dá sa to naplánovať. Nebezpečnejší je nepozorovaný útok: - Nájomcovia dostávajú falošné výzvy na platbu s cudzím IBAN, ktoré uvádzajú skutočné údaje zo zmluvy. - Čestné vyhlásenia uchádzačov o byt sa kopírujú a zneužívajú na podvod. - Vlastníci strácajú dôveru v správcu, čo sa na ďalšom zhromaždení stane témou. Ak existujú náznaky úniku údajov, môže byť potrebné oznámenie dozornému orgánu podľa [72-hodinového pravidla GDPR](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/). Posúdenie urobíte so svojou zodpovednou osobou za ochranu údajov. > **Konajte hneď:** > Ak nikto nepotvrdí, že PHP na serveri vášho portálu je záplatované a reštartované, odpojte portál od siete. Hlásenia škôd dočasne presmerujte na telefón a pohotovostnú službu. ## Typická medzera v zodpovednosti | Systém | Prevádzka | Kto záplatuje PHP | |---|---|---| | Odborný softvér v kancelárii | IT správca | väčšinou nie je dotknutý | | Portál ako služba poskytovateľa | poskytovateľ softvéru | poskytovateľ, vyžiadať potvrdenie | | Portál na vlastnom serveri | poskytovateľ hostingu alebo dodávateľ | podľa zmluvy, často nevyjasnené | | Web s ponukami bytov | agentúra a poskytovateľ hostingu | poskytovateľ hostingu pri webhostingu | K tomu pristupuje, že v menších správach nikto nemá celkový prehľad. Agentúra pozná web, IT správca kancelárske počítače, poskytovateľ softvéru svoj portál. ## Správne zapojiť vlastníkov, poradné orgány a nájomcov V správe spoločenstiev vlastníkov bytov (WEG) nie sú vlastníci a správcovské výbory len dotknutými, ale aj zadávateľmi. Právom očakávajú, že správca bude pri incidente informovať otvorene a doložiteľne. Krátka správa s príčinou, dotknutými systémami, prijatými opatreniami a otvoreným stavom je lepšia než mlčanie do ďalšieho zhromaždenia. Nájomcovia potrebujú predovšetkým praktické pokyny: ktorá cesta hlásenia práve platí, že sa bankové spojenia nemenia e-mailom a komu môžu preposlať podozrivé správy. Zosúladené texty bránia tomu, aby domový majster (Hausmeister), referenti a účtovníctvo poskytovali rôzne informácie. ## Prvé hodiny pre vedenie 1. Vypísať všetky portály a formuláre a pre každý vyjasniť, kde beží. 2. Nechať písomne potvrdiť stav záplat na 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. backport, a reštart. 3. Zálohovať logy od 20. 10. 2026, nechať skontrolovať adresáre pre nahrávanie na neznáme súbory. 4. Skontrolovať účty zamestnancov v portáloch a po vyčistení ich zabezpečiť [dvojfaktorovým prihlásením](https://phpsos.de/sk/ratgeber/zwei-faktor-admin/). 5. Nájomcov preventívne upozorniť, že sa bankové spojenia nemenia e-mailom. ## Ako konkrétne pomáha PHP SOS? - Zmapujeme vaše portály a formuláre a s poskytovateľom, agentúrou a poskytovateľom hostingu vyjasníme zodpovednosti. - Preveríme stav záplat a reštart a preskúmame adresáre pre nahrávanie a databázy na webshelly. - Pri napadnutí vyčistíme v rámci [núdzovej pomoci pri hacknutých weboch](https://phpsos.de/sk/leistungen/website-gehackt-notfallhilfe/) a incident zdokumentujeme pre zodpovednú osobu za ochranu údajov a poisťovateľa. - S [bezpečnostnou zmluvou o údržbe](https://phpsos.de/sk/leistungen/security-wartungsvertrag/) zostane PHP na vašich serveroch trvalo aktuálne a monitorované. ## Časté otázky **Náš portál nájomcov je softvér od poskytovateľa. Týka sa nás to?** Ak portál beží ako služba u poskytovateľa, zodpovedá za server a PHP on. Opýtajte sa tam písomne na stav. Ak ten istý softvér beží na vašom vlastnom serveri alebo u vášho poskytovateľa hostingu, záplata a reštart sú na vás alebo vašom dodávateľovi. **Ktoré údaje z čestného vyhlásenia nájomcu sú obzvlášť citlivé?** Doklady o príjmoch, kópie dokladov totožnosti, informácie o bonite a údaje o zamestnávateľovi sa hodia na zneužitie identity a podvod. Mali by sa uchovávať len tak dlho, ako je potrebné na prenájom. Ako dlho, vyjasnite so svojou zodpovednou osobou za ochranu údajov. **Ako zabránime falošným výzvam na platbu nájomcom?** Oznámte nájomcom, že sa vaše bankové spojenie nemení e-mailom ani správou v portáli bez toho, aby ste to potvrdili druhou cestou. Po incidente by ste nájomcov mali aktívne upozorniť. Technicky pomáhajú hardening portálov a dvojfaktorové prihlásenie pre účty zamestnancov. ## Zdroje - [php.net: bezpečnostné hlásenia](https://www.php.net/) - [BSI: varovania a odporúčania](https://www.bsi.bund.de/) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/) - [GDPR čl. 33: oznámenie dozornému orgánu](https://dsgvo-gesetz.de/art-33-dsgvo/)