Na kratko: Če je spletna stran vašega društva vdrta ali stoji na nepopravljenem PHP, ni potreben velik proračun, ampak jasna odgovornost. En član upravnega odbora pri ponudniku gostovanja poizve o stanju popravkov, zavaruje dostope in po potrebi odloči, da se stran začasno izklopi. Podatki članov imajo pri tem prednost pred koledarjem terminov.
Kako so spletne strani društev običajno zgrajene
Večina spletnih strani društev in zvez teče na WordPressu ali Joomli, ki jih je vzpostavil zavzet član, pogosto pred mnogimi leti. Značilne funkcije: termini in razporedi tekem, fotogalerije, območje za člane z zapisniki, spletne članske pristopne izjave s pooblastilom za neposredno bremenitev SEPA, obrazci za donacije in prijave na tečaje, turnirje ali izlete.
Zveze dodatno upravljajo portale za članska podjetja ali krajevne skupine, območja za organe z zaupnimi dokumenti in rezervacije seminarjev. Skoraj vse to temelji na PHP in leži na ugodnem spletnem gostovanju.
Kateri podatki članov ležijo na strežniku
Spletne članske pristopne izjave vsebujejo imena, datume rojstva, naslove in bančne povezave. V športnih društvih je veliko članov mladoletnih, izjave potem navajajo tudi zakonite zastopnike. Nekateri podatki sodijo med posebne kategorije po 9. členu GDPR, na primer zdravstveni podatki v rehabilitacijskem športu in športu invalidov ali članstvo v sindikatih in verskih skupnostih.
Pogosto na strežniku ležijo tudi pozabljene datoteke: seznami članov kot preglednica za blagajnika, izvozi za pošiljanje društvenega glasila, stare varnostne kopije. Prav te so ob napadu hitro skopirane.
Pri zvezah se dodajo drugi podatki: kontaktne osebe in kazalniki članskih podjetij, osnutki stališč, zapisniki sej upravnih odborov in strokovnih odborov. Kar se tam zaupno obravnava, lahko ob uhajanju oslabi pogajalska izhodišča ali člane naščuva drug proti drugemu. Za zveze je območje za člane zato pogosto občutljivejše od javne spletne strani.
Društvo in vdrta spletna stran: kaj to konkretno pomeni
- Zloraba bančnih podatkov: Z imeni in IBAN je mogoče pripraviti ponarejene neposredne bremenitve ali goljufiva sporočila v imenu društva.
- Ugled v skupnosti: Spletna stran društva, ki preusmerja na dvomljive ponudbe, pade v oči članom, sponzorjem in lokalnemu tisku.
- Obveznost prijave: Tudi društva so upravljavci po GDPR. Ob uhajanju podatkov je lahko potrebna prijava nadzornemu organu v 72 urah. Večja društva imajo za to pooblaščenca za varstvo podatkov, manjša se obrnejo na krovno zvezo ali pravno svetovanje.
Značilna vrzel: prostovoljstvo in menjava upravnega odbora
V društvu tehnične podrobnosti pogosto pozna le ena oseba. Če izstopi ali se upravni odbor zamenja, manjkajo dostopni podatki in nihče ne ve, katera različica PHP teče. Posodobitev CMS PHP2Shell ne zapre. Za PHP je pri običajnem spletnem gostovanju odgovoren ponudnik gostovanja, poizvedba pa mora priti od društva.
V upravnem odboru določite, kdo je odgovoren za spletno stran, in dostope do domene, gostovanja in skrbniškega območja shranite tako, da lahko do njih dostopata vsaj dve osebi. Skrbniške račune zavarujte z dvofaktorsko prijavo.
Prvi koraki za upravni odbor
- Pri ponudniku gostovanja pisno vprašajte: Je PHP za naš paket posodobljen na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oziroma popravljen z backportom in znova zagnan?
- Brez jasnega odgovora ali ob nepravilnostih stran začasno izklopite. Termine lahko medtem razpošljete po skupnem e-sporočilu.
- Ponudnika gostovanja prosite, naj dnevnike hrani od 20. 10. 2026.
- S strežnika odstranite stare sezname članov, izvoze in neuporabljene vtičnike ter izbrišite odvečne skrbniške račune.
- Ob znakih uhajanja podatkov vključite pooblaščenca za varstvo podatkov ali krovno zvezo.
Z majhnim proračunom smiselno določiti prednosti
Nobeno društvo ne mora izvesti vsakega varnostnega ukrepa naenkrat. Smiseln je vrstni red po škodi: najprej zaščititi ali odstraniti vse, kar vsebuje bančne povezave in podatke otrok. Nato strani s prijavo, torej območje za člane in skrbniški dostop. Nazadnje termini, poročila in galerije, ki so tako ali tako javni.
Pogosto je najugodnejša rešitev, da funkcije oddate, namesto da jih upravljate sami. Članske pristopne izjave in pooblastila za neposredno bremenitev je mogoče obravnavati prek društvenega upravljanja, ki ga vodi ponudnik, namesto prek samozgrajenega obrazca. Zveze s portali za članska podjetja naj preverijo, ali tam ležijo zaupni dokumenti organov, ki bi bili bolje shranjeni v ločeno zaščitenem sistemu. Manj podatkov kot leži na spletni strani društva, manj dela povzroči naslednja ranljivost.
Kako konkretno pomaga PHP SOS?
- Upravnemu odboru pomagamo pri pridobitvi dostopov nazaj in s ponudnikom gostovanja razjasnimo stanje popravkov.
- Ob sumu stran preverimo glede škodljive kode in neznanih računov ter jo očistimo prek naše nujne pomoči.
- Ciljno počistimo: kar društvo ne potrebuje, se odstrani, namesto da bi se še naprej zavarovalo.
- Priložimo kratko, razumljivo primopredajo, da tudi naslednji upravni odbor ve, kaj je kje.
Pogosta vprašanja
Ali odgovarja upravni odbor, če je spletna stran društva vdrta?
Društvo je odgovorno za podatke svojih članov, upravni odbor pa društvo zastopa. Ali in v kolikšni meri pride v poštev osebna odgovornost, je odvisno od posameznega primera in statuta. To je vprašanje za pravno svetovanje ali krovno zvezo.
Naš spletni urednik je izstopil. Kako pridemo do dostopov?
Pogodbeni partner ponudnika gostovanja je praviloma društvo. Z dokazilom o zastopniški pravici, na primer izpiskom iz registra, lahko upravni odbor pri ponudniku gostovanja zahteva ponastavitev dostopov. Nato naj bodo dostopni podatki shranjeni na mestu, do katerega imata dostop vsaj dva člana upravnega odbora.
Kaj ne stane nič in pomaga takoj?
Pri ponudniku gostovanja pisno povprašati o stanju popravkov PHP, izbrisati neuporabljene skrbniške račune, odstraniti nepotrebne vtičnike in s strežnika izbrisati stare izvoze članov. To občutno zniža tveganje, a ne nadomešča preverjanja, če že obstajajo znaki vdora.