Kort sagt: För en fastighetsförvaltares IT-säkerhet räknas framför allt de system via vilka hyresgäster och ägare lämnar uppgifter: portaler, skadeanmälningar och ansökningsformulär för lägenheter. Klargör vilka av dem som körs på er egen server, låt PHP-patchen bekräftas och håll en reservväg redo för brådskande skadeanmälningar.
Vilka PHP-system fastighetsförvaltare och mäklare använder
Många förvaltare arbetar med en branschprogramvara för objekt, hyror och driftskostnader. Utåt tillkommer fler system: hyresgäst- och ägarportaler med dokumentförvaring, onlineformulär för skadeanmälningar med fotouppladdning, lägenhetsannonser med intressentformulär och hyresgästens egenupplysning, områden för ägarmöten med protokoll och beslut.
En del av detta drivs som tjänst av programvaruleverantören, en annan del körs på den egna webbplatsen, ofta WordPress med fastighetsplugin. För PHP2Shell är just den skillnaden avgörande.
Dessutom finns gränssnitt som knappast någon märker i vardagen: Fastighetsannonser överförs automatiskt från branschprogramvaran till webbplatsen och till fastighetsportaler, mätarställningar kommer från mätföretag, hantverkaruppdrag går via egna formulär. Var och en av dessa förbindelser kräver inloggningsuppgifter som ofta ligger lagrade på webbservern. Efter en incident måste alla förnyas, annars blir en bakdörr kvar för angriparen in i angränsande system.
Vilka uppgifter hyresgäster och ägare anförtror er
Hos en fastighetsförvaltare finns hyresavtal, kontoförbindelser för autogiro, avräkningar av driftskostnader, mätarställningar, korrespondens om brister och tvister samt foton från lägenheter. Hos intressenter tillkommer egenupplysningar med inkomstunderlag, id-kopior och kreditupplysningar. I ägarportaler finns beslut, reserveringar och delvis information om låssystem.
För angripare är dessa uppgifter intressanta av två skäl: De möjliggör identitetsmissbruk, och de levererar allt som behövs för trovärdiga bedrägerimejl, till exempel ett påstått nytt kontonummer för hyran. Uppladdade filer är dessutom en typisk angreppsväg. Hur uppladdningar genomförs säkert förklarar guiden Filuppladdningar i PHP.
Fastighetsförvaltning och IT-säkerhet: vad en incident innebär
Faller portalen bort saknas kanalen för brådskande meddelanden som vattenskador eller värmeavbrott. Det skapar tryck på telefon och jour men går att planera för. Farligare är ett oupptäckt angrepp:
- Hyresgäster får förfalskade betalningsuppmaningar med ett främmande IBAN som nämner verkliga avtalsuppgifter.
- Egenupplysningar från lägenhetssökande kopieras och används för bedrägeri.
- Ägare förlorar förtroendet för förvaltningen, vilket blir ett ämne vid nästa möte.
Finns det tecken på ett dataläckage kan en anmälan till tillsynsmyndigheten enligt 72-timmarsregeln i GDPR vara nödvändig. Bedömningen gör ni med ert dataskyddsombud.
Om ingen bekräftar att PHP på portalens server är patchad och omstartad, ta portalen offline. Leda om skadeanmälningar tillfälligt till telefon och jour.
Det typiska ansvarsglappet
| System | Drift | Vem patchar PHP |
|---|---|---|
| Branschprogramvara på kontoret | IT-ansvarig | oftast inte berörd |
| Portal som tjänst från leverantören | Programvaruleverantör | Leverantören, begär bekräftelse |
| Portal på egen server | Webbhotell eller leverantör | enligt avtalet, ofta oklart |
| Webbplats med lägenhetsannonser | Byrå och webbhotell | Webbhotellet vid webbhotell |
Därtill kommer att ingen i mindre förvaltningar har helhetsbilden. Byrån känner webbplatsen, IT-ansvarig kontorsdatorerna, programvaruleverantören sin portal.
Ta med ägare, förvaltningsråd och hyresgäster på rätt sätt
I förvaltningen av bostadsägarsamfälligheter (WEG) är ägare och förvaltningsråd inte bara berörda utan också uppdragsgivare. De förväntar sig med rätta att förvaltaren vid en incident rapporterar öppet och belagt. En kort rapport med orsak, berörda system, vidtagna åtgärder och öppet läge är bättre än tystnad fram till nästa möte.
Hyresgäster behöver framför allt praktiska anvisningar: vilken anmälningsväg som gäller just nu, att kontouppgifter inte ändras per e-post och till vem de kan lämna vidare misstänkta meddelanden. Samordnade texter förhindrar att fastighetsskötare, handläggning och bokföring ger olika besked.
De första timmarna för ledningen
- Lista alla portaler och formulär och klargör för var och en var den körs.
- Låt patchnivå på 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 respektive backport och omstart bekräftas skriftligen.
- Säkra loggar från och med den 20 oktober 2026, låt uppladdningskataloger kontrolleras efter okända filer.
- Kontrollera portalernas medarbetarkonton och skydda dem efter rensningen med tvåfaktorsinloggning.
- Påpeka förebyggande för hyresgäster att kontouppgifter inte ändras per e-post.
Hur hjälper PHP SOS konkret?
- Vi kartlägger era portaler och formulär och klarlägger ansvaret med leverantör, byrå och webbhotell.
- Vi kontrollerar patchnivå och omstart och undersöker uppladdningsmappar och databaser efter webshells.
- Vid ett angrepp rensar vi inom ramen för nödhjälpen vid hackade webbplatser och dokumenterar incidenten för dataskyddsombud och försäkringsgivare.
- Med ett säkerhetsunderhållsavtal förblir PHP på era servrar varaktigt aktuellt och övervakat.
Vanliga frågor
Vår hyresgästportal är programvara från en leverantör. Berörs vi?
Körs portalen som tjänst hos leverantören ansvarar denne för server och PHP. Fråga där skriftligen om läget. Körs samma programvara på er egen server eller hos ert webbhotell ligger patch och omstart hos er eller er leverantör.
Vilka uppgifter i hyresgästens egenupplysning är särskilt känsliga?
Inkomstunderlag, kopior av id-handlingar, kreditupplysningar och uppgifter om arbetsgivare lämpar sig för identitetsmissbruk och bedrägeri. De bör bara lagras så länge som uthyrningen kräver. Hur länge det är klarlägger ni med ert dataskyddsombud.
Hur förhindrar vi förfalskade betalningsuppmaningar till hyresgäster?
Meddela hyresgästerna att ert kontonummer inte ändras via e-post eller portalmeddelande utan att ni bekräftar det på en andra väg. Efter en incident bör ni varna hyresgäster aktivt. Tekniskt hjälper härdning av portalerna och tvåfaktorsinloggning för medarbetarkonton.