Na kratko: Pri IT-varnosti upravnika stavb štejejo predvsem sistemi, prek katerih najemniki in lastniki oddajajo podatke: portali, prijave škode in obrazci za prijave na stanovanja. Razjasnite, kateri od njih tečejo na vašem strežniku, dajte potrditi popravek PHP in imejte pripravljeno nadomestno pot za nujne prijave škode.
Katere sisteme PHP uporabljajo upravniki stavb in posredniki
Številni upravniki delajo s panožno programsko opremo za objekte, najemnine in stroške. Navzven se dodajo drugi sistemi: portali najemnikov in lastnikov z odlagališčem dokumentov, spletni obrazci za prijave škode z nalaganjem fotografij, ponudbe stanovanj z obrazcem za interesente in samopopisom najemnika, območja za zbore lastnikov z zapisniki in sklepi.
Del tega upravlja ponudnik programske opreme kot storitev, drugi del teče na lastni spletni strani, pogosto WordPress z nepremičninskimi vtičniki. Za PHP2Shell je odločilna prav ta razlika.
Dodajo se vmesniki, ki jih v vsakdanu komaj kdo opazi: nepremičninske ponudbe se samodejno prenašajo iz panožne programske opreme na spletno stran in na nepremičninske portale, stanja števcev prihajajo od izvajalcev meritev, naročila obrtnikom tečejo prek lastnih obrazcev. Vsaka od teh povezav potrebuje dostopne podatke, ki so pogosto shranjeni na spletnem strežniku. Po incidentu jih je treba vse obnoviti, sicer napadalcu ostanejo stranska vrata v sosednje sisteme.
Kakšne podatke najemniki in lastniki zaupajo
Pri upravniku stavb ležijo najemne pogodbe, bančne povezave za neposredne bremenitve, obračuni stroškov, stanja števcev, korespondenca o napakah in sporih ter fotografije iz stanovanj. Pri interesentih se dodajo samopopisi z dokazili o dohodkih, kopijami osebnih izkaznic in bonitetnimi informacijami. V portalih lastnikov so sklepi, rezerve in deloma informacije o ključavničarskih sistemih.
Za napadalce so ti podatki zanimivi iz dveh razlogov: omogočajo zlorabo identitete in dajejo vse, kar je potrebno za verodostojna goljufiva sporočila, na primer domnevno novo bančno povezavo za najemnino. Naložene datoteke so poleg tega značilna pot napada. Kako se nalaganje varno izvede, pojasnjuje priročnik Nalaganje datotek v PHP.
Upravnik stavb in IT-varnost: kaj incident pomeni
Če portal odpove, manjka kanal za nujna sporočila, kot so vodne škode ali izpadi ogrevanja. To ustvari pritisk na telefon in dežurno službo, a je načrtljivo. Nevarnejši je neopažen napad:
- Najemniki prejmejo ponarejene plačilne pozive s tujim IBAN, ki navajajo prave pogodbene podatke.
- Samopopisi kandidatov za stanovanja se kopirajo in uporabijo za goljufijo.
- Lastniki izgubijo zaupanje v upravnika, kar na naslednjem zboru postane tema.
Če obstajajo znaki uhajanja podatkov, je lahko po 72-urnem pravilu GDPR potrebna prijava nadzornemu organu. Oceno opravite s pooblaščencem za varstvo podatkov.
Če nihče ne potrdi, da je PHP na strežniku vašega portala popravljen in znova zagnan, portal odklopite z omrežja. Prijave škode začasno preusmerite na telefon in dežurno službo.
Značilna vrzel v odgovornosti
| Sistem | Delovanje | Kdo popravi PHP |
|---|---|---|
| Panožna programska oprema v pisarni | IT-skrbnik | večinoma ni prizadeto |
| Portal kot storitev ponudnika | ponudnik programske opreme | ponudnik, zahtevajte potrditev |
| Portal na lastnem strežniku | ponudnik gostovanja ali izvajalec | po pogodbi, pogosto nerazjasnjeno |
| Spletna stran s ponudbami stanovanj | agencija in ponudnik gostovanja | ponudnik gostovanja pri spletnem gostovanju |
Poleg tega v manjših upravah nihče nima celotnega pregleda. Agencija pozna spletno stran, IT-skrbnik pisarniške računalnike, ponudnik programske opreme svoj portal.
Lastnike, svete in najemnike pravilno vključiti
Pri upravljanju skupnosti etažnih lastnikov (WEG, nemški zakon o stanovanjski lastnini) lastniki in upravni sveti niso le prizadeti, ampak tudi naročniki. Upravičeno pričakujejo, da bo upravnik ob incidentu poročal odprto in dokazljivo. Kratko poročilo z vzrokom, prizadetimi sistemi, sprejetimi ukrepi in odprtim stanjem je boljše od molka do naslednjega zbora.
Najemniki potrebujejo predvsem praktična navodila: katera pot prijave trenutno velja, da se bančne povezave ne spreminjajo po e-pošti in komu lahko posredujejo sumljiva sporočila. Usklajena besedila preprečijo, da bi hišnik, referent in računovodstvo dajali različne informacije.
Prve ure za poslovodstvo
- Naštejte vse portale in obrazce ter za vsakega razjasnite, kje teče.
- Dajte pisno potrditi popravek na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oz. backport in ponovni zagon.
- Zavarujte dnevnike od 20. 10. 2026, dajte preveriti mape za nalaganje glede neznanih datotek.
- Preverite račune zaposlenih v portalih in jih po čiščenju zavarujte z dvofaktorsko prijavo.
- Najemnike preventivno opozorite, da se bančne povezave ne spreminjajo po e-pošti.
Kako konkretno pomaga PHP SOS?
- Zajamemo vaše portale in obrazce ter s ponudnikom, agencijo in ponudnikom gostovanja razjasnimo odgovornosti.
- Preverimo stanje popravkov in ponovni zagon ter preiščemo mape za nalaganje in podatkovne zbirke glede webshellov.
- Ob okužbi očistimo v okviru nujne pomoči pri vdrtih spletnih straneh in incident dokumentiramo za pooblaščenca za varstvo podatkov in zavarovalnico.
- Z varnostno vzdrževalno pogodbo PHP na vaših strežnikih trajno ostane aktualen in nadzorovan.
Pogosta vprašanja
Naš portal najemnikov je programska oprema ponudnika. Smo prizadeti?
Če portal teče kot storitev pri ponudniku, je ta odgovoren za strežnik in PHP. Tam pisno povprašajte o stanju. Če ista programska oprema teče na vašem strežniku ali pri vašem ponudniku gostovanja, sta popravek in ponovni zagon pri vas ali vašem izvajalcu.
Kateri podatki iz samopopisa najemnika so posebej občutljivi?
Dokazila o dohodkih, kopije osebnih izkaznic, bonitetne informacije in podatki o delodajalcu so primerni za zlorabo identitete in goljufijo. Hraniti jih je treba samo tako dolgo, kot je potrebno za oddajo. Kako dolgo je to, razjasnite s pooblaščencem za varstvo podatkov.
Kako preprečimo ponarejene plačilne pozive najemnikom?
Najemnikom sporočite, da se vaša bančna povezava ne spremeni po e-pošti ali sporočilu v portalu, ne da bi to potrdili še na drugi poti. Po incidentu najemnike aktivno opozorite. Tehnično pomagata utrjevanje portalov in dvofaktorska prijava za račune zaposlenih.