Накратко: Ако уебсайтът на Вашето сдружение е хакнат или работи с непачнат PHP, не е нужен голям бюджет, но е нужна ясна отговорност. Член на управителния съвет пита хостинг доставчика за състоянието на пача, защитава достъпите и при нужда решава да изключи страницата временно. Данните на членовете имат приоритет пред календара със събития.
Как обикновено са изградени уебсайтовете на сдружения
Повечето страници на сдружения и съюзи работят на WordPress или Joomla, настроени от ангажиран член, често преди много години. Типични функции: събития и програми на мачове, фотогалерии, област за членове с протоколи, онлайн заявления за членство със SEPA мандат за директен дебит, форми за дарения и записвания за курсове, турнири или пътувания.
Съюзите поддържат допълнително портали за членове-фирми или местни групи, области за органи с поверителни документи и резервации на семинари. Почти всичко това се основава на PHP и стои на евтин уеб хостинг.
Какви данни на членове има на сървъра
Онлайн заявленията за членство съдържат имена, дати на раждане, адреси и банкови сметки. В спортните клубове много членове са непълнолетни, заявленията тогава посочват и техните законни представители. Някои сведения спадат към специалните категории по чл. 9 от ОРЗД, например здравни данни в рехабилитационния спорт и спорта за хора с увреждания или членство в синдикати и религиозни общности.
Често на сървъра лежат допълнително и забравени файлове: списъци с членове като таблица за касиера, експорти за изпращането на списанието на сдружението, стари резервни копия. Именно те се копират бързо при атака.
При съюзите се добавят други данни: контактни лица и показатели на членове-фирми, проекти на становища, протоколи от заседания на управителния съвет и на специализирани комисии. Какво е обсъждано там поверително, при изтичане може да отслаби позиции за преговори или да настрои членове един срещу друг. За съюзите областта за членове затова е често по-деликатна от публичния уебсайт.
Сдружение и хакнат уебсайт: какво означава това конкретно
- Злоупотреба с банкови данни: С имена и IBAN могат да се подготвят фалшиви директни дебити или измамнически имейли от името на сдружението.
- Репутация в общността: Страница на сдружение, която пренасочва към съмнителни оферти, прави впечатление на членове, спонсори и местната преса.
- Задължение за уведомяване: И сдруженията са администратори по ОРЗД. При изтичане на данни може да е необходимо уведомяване на надзорния орган в рамките на 72 часа. По-големите сдружения имат за това длъжностно лице по защита на данните, по-малките се обръщат към обединяващия съюз или към правен съветник.
Типичната празнина: доброволният труд и смяната на управителния съвет
В сдружението често само един човек познава техническите подробности. Ако той напусне или управителният съвет се смени, липсват данни за достъп и никой не знае коя версия на PHP работи. Актуализацията на CMS не затваря PHP2Shell. За PHP при обикновен уеб хостинг отговаря хостинг доставчикът, но запитването трябва да дойде от сдружението.
Определете в управителния съвет кой отговаря за уебсайта и запазете достъпите до домейна, хостинга и администраторската област така, че поне двама души да имат достъп до тях. Защитете администраторските акаунти с двуфакторно удостоверяване.
Първи стъпки за управителния съвет
- Попитайте писмено хостинг доставчика: актуализиран ли е PHP за нашия пакет до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или е пачнат чрез backport и рестартиран?
- Без ясен отговор или при нередности изключете страницата временно. Събитията дотогава могат да се разпространяват с циркулярен имейл.
- Помолете хостинг доставчика да съхрани логовете от 20.10.2026 г.
- Премахнете от сървъра старите списъци с членове, експорти и неизползвани добавки и изтрийте излишните администраторски акаунти.
- При признаци за изтичане на данни включете длъжностното лице по защита на данните или обединяващия съюз.
Разумно приоритизиране с малък бюджет
Никое сдружение не трябва да въвежда всяка мярка за сигурност наведнъж. Смислен е ред според щетите: първо защитете или премахнете всичко, което съдържа банкови сметки и данни на деца. След това страниците с вход, т.е. областта за членове и администраторския достъп. Накрая събитията, отчетите и галериите, които и без това са публични.
Често най-евтиното решение е да се предадат функции, вместо да се управляват сами. Заявленията за членство и мандатите за директен дебит могат да се обработват чрез система за управление на сдружения, управлявана от доставчик, вместо чрез самостоятелно изградена форма. Съюзите с портали за членове-фирми трябва да проверят дали там лежат поверителни документи на органи, които биха били по-добре в отделно защитена система. Колкото по-малко данни има на уебсайта на сдружението, толкова по-малко усилия струва следващата уязвимост.
Как помага PHP SOS конкретно?
- Помагаме на управителния съвет да си върне достъпите и уточняваме с хостинг доставчика състоянието на пача.
- При съмнение проверяваме страницата за злонамерен код и непознати акаунти и я почистваме чрез нашата спешна помощ.
- Разчистваме целенасочено: което сдружението не се нуждае, се премахва, вместо да се защитава и занапред.
- Предаваме Ви кратка и разбираема документация, за да знае и следващият управителен съвет какво къде се намира.
Често задавани въпроси
Носи ли управителният съвет отговорност, ако уебсайтът на сдружението бъде хакнат?
Сдружението отговаря за данните на своите членове, а управителният съвет представлява сдружението. Дали и доколко се разглежда лична отговорност, зависи от конкретния случай и от устава. Това е въпрос за правен съветник или за обединяващия съюз.
Нашият уебмастър напусна. Как да получим достъпите?
Договорен партньор на хостинг доставчика по правило е сдружението. С доказателство за представителната власт, например извлечение от регистъра, управителният съвет може да накара хостинг доставчика да нулира достъпите. След това данните за достъп трябва да стоят на едно място, до което имат достъп поне двама членове на управителния съвет.
Какво не струва нищо и помага веднага?
Попитайте писмено хостинг доставчика за състоянието на PHP пача, изтрийте неизползваните администраторски акаунти, премахнете ненужните добавки и изтрийте старите експорти на членове от сървъра. Това намалява значително риска, но не заменя проверката, ако вече има признаци за хакване.