Lyhyesti: Lakitoimiston tietoturvassa merkitystä on jokaisella järjestelmällä, jonka kautta asiakkaat lähettävät tai hakevat asiakirjoja. Selvittäkää, mitkä niistä toimivat PHP:llä, pyytäkää korjaustila ja uudelleenkäynnistys vahvistettuna ja käsitelkää jokainen epäilytapaus niin, että todisteet ja luottamuksellisuus säilyvät.
Missä lakitoimistot käyttävät PHP:tä, usein tietämättään
Itse lakitoimisto-ohjelmisto on yleensä toimistossa tai erikoistuneessa konesalissa. PHP löytyy muualta: lakitoimiston verkkosivulta, jossa on ensimmäisen yhteydenoton lomake, asiakirjojen latausreiteistä, verkkoajanvarauksista ja itse ylläpidetyistä tietohuoneista. Monet lakitoimistot käyttävät turvalliseen asiakirjojen vaihtoon omaa Nextcloudia, jonka järjestelmätalo on perustanut.
Juuri nämä tietohuoneet sisältävät arkaluonteisinta, mitä lakitoimistolla on: kirjelmiä, valtakirjoja, sopimusluonnoksia, lausuntoja, todistekuvia ja rikosasioissa myös tutkinta-aineistoa. PHP2Shell sallii hyökkääjille koodin suorittamisen ilman kirjautumista. Vahva salasana portaalissa ei auta sitä vastaan.
Lakitoimistot, joiden painopisteet ovat esimerkiksi perhe-, työ- tai lääkeoikeudessa, käsittelevät lisäksi terveystietoja, lausuntoja ja yksityiselämän yksityiskohtia. Talouslakitoimistoissa on asiakirjoja liiketoimista, jotka voivat olla kurssirelevantteja ennen julkistamista. Mitä aineistoa portaaleissanne on, ratkaisee sen, kuinka vakava poikkeama on.
Salassapito ja tietosuoja: mitä vuoto tarkoittaa
Asianajajia koskee ammatillinen vaitiolovelvollisuus. Asiakassalaisuuksien luvaton paljastaminen voi olla rangaistavaa Saksan rikoslain 203 §:n (deutsches Gesetz, § 203 StGB) mukaan. Lisäksi on GDPR:n velvoitteet, joihin terveys- tai rikosoikeudenkäyntiyhteydessä kuuluvat erityiset tietoryhmät.
Tietovuoto osuu siksi lakitoimistoihin kaksinkertaisesti. Se vaarantaa käynnissä olevia toimeksiantoja, jos esimerkiksi neuvotteluasemat tai sovintoluonnokset päätyvät vääriin käsiin. Ja se vahingoittaa luottamusta, johon toimeksiantosuhde perustuu. Onko ja miten asiakkaille ja valvontaviranomaiselle on ilmoitettava, arvioitte tietosuojavastaavanne ja ammattisääntöjä koskevan neuvonnan kanssa.
Lakitoimiston verkkosivu petoksen työkaluna
Vaarantunut lakitoimiston palvelin ei palvele hyökkääjiä pelkästään tietolähteenä. Kirjepohjalla, asiakirjanumeroilla ja asiakasportaalin oikeilla nimillä voi väärentää kirjeitä, joita on vaikea erottaa aidoista. Erityisen arkaluonteisia ovat maksupyynnöt, esimerkiksi sovintosummista tai palkkioista, joissa tilinumero on vaihdettu.
Myös ensimmäisen yhteydenoton lomaketta voidaan käyttää väärin: hyökkääjä ohjaa yhteydenotot omaan osoitteeseensa ja ottaa yhteyttä kiinnostuneisiin lakitoimiston nimissä. Poikkeaman jälkeen ei siksi kannata tarkistuttaa vain palvelinta, vaan muistuttaa asiakkaita aktiivisesti siitä, ettette koskaan muuta tilinumeroita sähköpostilla.
Asianajajien erityinen sähköinen postilaatikko (beA) ja lakitoimisto-ohjelmisto eivät toimi verkkopalvelimellanne. Vaaralliseksi tilanne muuttuu siellä, missä verkkopalvelimelle on tallennettu sähköpostitilien tai muiden lakitoimiston järjestelmien tunnukset.
Lakitoimiston IT-turvallisuus: kuka vastaa mistä?
Lakitoimistoissa, joilla ei ole omaa IT-osastoa, tehtävät jakautuvat yleensä näin:
| Järjestelmä | Kuka ylläpitää | Avoin kysymys PHP2Shellin osalta |
|---|---|---|
| Lakitoimisto-ohjelmisto, työasemat | Järjestelmätalo | yleensä ei haavoittuva |
| Nextcloud tai tietohuone | Järjestelmätalo tai hosting-yritys | Kuka korjaa PHP:n ja käynnistää uudelleen? |
| Verkkosivusto lomakkeineen | Verkkotoimisto | Toimiiko se hosting-yrityksellä ajantasaisella PHP:llä? |
| Verkkoajanvaraus | Ulkopuolinen palveluntarjoaja tai lisäosa | Missä asiakkaiden asiat ovat? |
Aukko syntyy siellä, missä järjestelmätalo pitää verkkosivua toimiston asiana ja toimisto palvelinta hosting-yrityksen asiana. Kirjatkaa jokaisen järjestelmän osalta kirjallisesti, kuka päivittää PHP:n ja käynnistää prosessit uudelleen.
Älkää puhdistako epäilyttävää palvelinta hätiköiden. Joka asentaa sen uudelleen ennen kuin jäljet on varmistettu, ei voi myöhemmin osoittaa, onko asiakastietoja vuotanut ja mitä.
Ensimmäiset tunnit: toimikaa luottamuksellisesti ja jäljitettävästi
- Sulkekaa vaikuttaneet portaalit ja tietohuoneet asiakkailta, jatkakaa sisäistä työtä lakitoimisto-ohjelmiston kautta.
- Varmistakaa lokit 20.10.2026 alkaen ja säilyttäkää palvelimen tila, ennen kuin kukaan poistaa tiedostoja.
- Kysykää korjaustila ja uudelleenkäynnistys ylläpitäjältä kirjallisesti. Näytetty versionumero ei yksin riitä, koska backportit voivat jättää sen ennalleen.
- Määritelkää pieni piiri, joka puhuu poikkeamasta, ja valmistelkaa ulospäin suuntautuva viestintä.
- Ottakaa tietosuojavastaava mukaan ja pitäkää silmällä GDPR:n mukaista ilmoitusaikaa.
Miten PHP SOS auttaa konkreettisesti?
- Ennen ensimmäistä pääsyä sovimme kirjallisesta vaitiolosta ja rajaamme pääsyn välttämättömään.
- Tarkistamme lakitoimiston kaikkien internetistä tavoitettavissa olevien PHP-järjestelmien korjaustilan, ajotavan ja uudelleenkäynnistyksen.
- Epäilyn herätessä varmistamme jäljet forensisesti, jotta myöhemmin voidaan osoittaa, mihin on päästy käsiksi. Lisätietoja IT-forensiikka-sivullamme.
- Puhdistamme ja koventamme järjestelmät ja dokumentoimme jokaisen vaiheen lakitoimiston johdolle, tietosuojavastaavalle ja vakuutusyhtiölle.
- Halutessanne hoidamme portaalien jatkuvan ylläpidon, jotta seuraava PHP-haavoittuvuus ei jää taas järjestelmätalon ja toimiston väliin.
Usein kysytyt kysymykset
Koskeeko PHP2Shell lakitoimistomme ohjelmistoa?
Varsinainen lakitoimisto-ohjelmisto ei yleensä toimi PHP-verkkopalvelimella. Haavoittuvia voivat olla verkkosivusto, latauslomakkeet, itse ylläpidetyt tietohuoneet kuten Nextcloud sekä PHP:n päälle rakennetut portaalit. Kaikkien internetistä tavoitettavissa olevien järjestelmien kartoitus tuo selvyyden.
Saako ulkopuolinen IT-palveluntarjoaja päästä asiakastietoihin poikkeamatilanteessa?
Ammattisäännöt ja Saksan rikoslain 203 § (deutsches Gesetz, § 203 StGB) sallivat avustavien palveluntarjoajien käytön tietyin edellytyksin, erityisesti vaitiolositoumuksen kanssa. Mitä vaatimuksia lakitoimistoanne koskee yksityiskohtaisesti, selvittäkää ammattisääntöjen kannalta. Me sovimme vaitiolosta kirjallisesti ennen ensimmäistä pääsyä.
Onko asiakkaille ilmoitettava hyökkäyksestä?
Jos rekisteröityjen oikeuksille aiheutuu riski, GDPR voi edellyttää ilmoitusta, ja sen lisäksi tulevat ammattisääntöihin liittyvät näkökohdat. Päätös kuuluu lakitoimiston johdolle ja tietosuojavastaavalle. Yhteensovitettu viestintä estää ristiriitaiset lausunnot.