Lyhyesti: Veroneuvojien tietoturvassa ratkaisevaa on, mitä järjestelmiä toimisto ylläpitää itse. Ohjelmistotoimittajien suurportaalit ovat näiden vastuulla, oma verkkosivusto, latauslomakkeet ja tietohuoneet taas teidän. Ne kuuluvat nyt korjatun PHP:n päälle, uudelleenkäynnistyksineen ja kirjallisine todistuksineen.
Mitkä järjestelmät veroneuvontatoimistoissa toimivat PHP:llä
Kirjanpitoon ja palkanlaskentaan useimmat toimistot käyttävät erikoistuneita ohjelmistoja ja niiden portaaleja. Niiden rinnalle syntyy vuosien mittaan omia ratkaisuja: tositteiden latauslomake verkkosivulla, tuloveron kyselylomakkeet, sivu asiakkaiden uusille työntekijöille palkkaperustietojen kirjaamista varten, rekrytointiportaali tai itse ylläpidetty Nextcloud suuria tiedostoja varten.
Nämä järjestelmät toimivat lähes aina PHP:llä, ja niitä ylläpitää toimisto, järjestelmätalo tai hosting-yritys. Juuri pienet lomakkeet unohtuvat, koska ne on kerran perustettu ja ne ovat sen jälkeen vain toimineet. Usein ladatut tositteet makaavat sitten vuosia verkkopalvelimen lataushakemistossa, vaikka ne on jo kauan sitten käsitelty toimistoohjelmistossa.
Mitä tietoja on pelissä
Veroneuvontatoimistot käsittelevät tietoja tiheydellä, johon harva muu toimiala yltää: IBAN-tilinumeroita ja tiliotteita, verotunnuksia, tulotodisteita, osakaslistoja ja palkkalaskelmia. Palkkatiedot sisältävät toisinaan myös GDPR:n 9 artiklan mukaisia erityisiä tietoryhmiä, esimerkiksi uskontokuntaa kirkollisveroa varten.
Lisäksi on ammatillinen salassapito: veroneuvojia koskee vaitiolovelvollisuus, ja luvaton paljastaminen voi olla rangaistavaa Saksan rikoslain 203 §:n (deutsches Gesetz, § 203 StGB) mukaan. Ja monet rekisteröidyt eivät ole teidän asiakkaitanne vaan heidän työntekijöitään. Tietovuodossa asianosaisten piiri kasvaa siksi nopeasti.
Veroneuvojan tietoturva: mitä tapaus käytännössä aiheuttaa
Veroneuvontatoimistoon kohdistuvalla hyökkäyksellä on tyypillisiä seurauksia, jotka poikkeavat muista toimialoista:
- Petokset todellisilla tiedoilla: Joka tuntee laskut, tilinumerot ja yhteyshenkilöt, voi lähettää asiakkaille petollisen aidon näköisiä maksupyyntöjä.
- Määräaikapaine: Jos latausportaali kaatuu ilmoitusaikana, tositteet kasaantuvat ja asiakkaat siirtyvät turvattomille reiteille, kuten salaamattomiin sähköposteihin.
- Luottamus: Asiakkaat luottavat siihen, että heidän talousasiansa pysyvät luottamuksellisina. Tapaus, josta he kuulevat lehdistöstä, on raskaampi kuin sellainen, josta toimisto itse tiedottaa asiallisesti.
Jos latausportaalinne toimii palvelimella, jonka PHP-korjaustilaa kukaan ei voi vahvistaa, ottakaa se pois verkosta, kunnes korjaus ja uudelleenkäynnistys on todennettu. Näin suosittelee BSI (Saksan liittovaltion tietoturvavirasto) palvelimille, joita ei voi päivittää heti.
Vastuuaukko järjestelmätalon ja toimiston välissä
Järjestelmätalo ylläpitää toimisto-ohjelmistoa ja työasemia, verkkotoimisto verkkosivua ja hosting-yritys palvelinta. Kuka vastaa verkkopalvelimen PHP:stä, ei yleensä lue sopimuksessa nimenomaisesti. Selvittäkää se nyt ja pyytäkää paketin tilan vahvistus. Miten tiedot tulkitaan, selitetään oppaassa PHP-version ja korjaustilan tarkistus.
Korjatut versiot ovat PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Jos käyttöliittymä näyttää vanhemman tilan, backport on silti voitu asentaa. Toisaalta päivitys ilman PHP-prosessien uudelleenkäynnistystä ei riitä.
Mitä asiakkaiden pitäisi nyt tietää teiltä
Asiakkaat reagoivat tietoturvahaavoittuvuuksia koskeviin uutisiin epävarmuudella, erityisesti jos he lataavat säännöllisesti tositteita. Lyhyt, asiallinen tiedote vahvistaa silloin luottamusta: mitkä reitit tositteiden vaihtoon ovat nyt voimassa, ettei toimisto koskaan muuta tilinumeroita sähköpostilla ja että epäilyttävistä maksupyynnöistä kannattaa varmistaa puhelimitse.
Yritysasiakkaille on järkevää antaa vielä yksi vinkki: palkkatoimistojen ja henkilöstöosastojen tulisi olla erityisen tarkkoina, kun työntekijöiden palkkatiedoista tai muuttuneista pankkitiedoista tulee pyyntöjä. Tällaiset petosyritykset hyödyntävät mielellään toimistoista peräisin olevaa tietoa. Vaatiiko yksittäinen tapaus muodollisen GDPR-ilmoituksen, on oma kysymyksensä, jonka selvitätte tietosuojavastaavanne kanssa.
Ensimmäiset tunnit toimiston johdolle
- Listatkaa kaikki omat internetistä tavoitettavissa olevat PHP-järjestelmät, myös vanhat lomakkeet ja testiasennukset.
- Pyytäkää jokaisen järjestelmän korjaustila ja uudelleenkäynnistys kirjallisena vahvistuksena tai poistakaa se tilapäisesti käytöstä.
- Varmistakaa lokit 20.10.2026 alkaen ja määritelkää turvallinen vaihtoehtoinen reitti tositteiden vaihtoon.
- Ilmoittakaa vakuutusyhtiölle ja tietosuojavastaavalle ajoissa. Mitä sopimuksenne edellyttää, selitetään kybervakuutus-sivulla.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitamme toimiston kaikki ulkoa tavoitettavissa olevat PHP-järjestelmät ja selvitämme, mitkä ovat ohjelmistotoimittajalla ja mitkä teillä.
- Osana PHP2Shell-pikaapua korjaamme tai annamme korjata, käynnistämme kaikki worker-prosessit uudelleen ja todennamme tuloksen.
- Tarkistamme latauskansiot ja tietokannat web shellien ja tuntemattomien käyttökertojen varalta.
- Siivoamme: mitä ei enää tarvita, sen sovittuamme poistamme käytöstä sen sijaan, että korjaisimme sitä edelleen.
- Tietoturvahuoltosopimuksella vastuu PHP:stä pysyy sen jälkeen selkeästi sovittuna.
Usein kysytyt kysymykset
Koskeeko PHP2Shell tositteiden vaihtoa suurten ohjelmistoportaalien kautta?
Portaalit, joita ohjelmistotoimittaja ylläpitää omassa konesalissaan, ovat sen vastuulla. Niiden korjaustilasta vastaa toimittaja. Haavoittuvia voivat olla ennen kaikkea järjestelmät, joita toimistonne ylläpitää itse tai toimiston kautta, esimerkiksi verkkosivun lomakkeet, latauspalvelut tai oma Nextcloud.
Miksi veroneuvojien tiedot kiinnostavat hyökkääjiä niin paljon?
Veroneuvontatoimisto kokoaa yhteen monien yritysten ja yksityishenkilöiden tiedot: pankkitilit, tulot, verotunnukset ja työntekijöiden palkkatiedot. Niillä voi valmistella uskottavia petossähköposteja ja henkilöllisyyden väärinkäyttöä. Yksi tapaus koskee siten usein satoja ihmisiä, jotka eivät ole koskaan antaneet toimeksiantoa toimistolle suoraan.
Mitä tehdä, jos portaali on otettava pois käytöstä kesken ilmoitusajan?
Määritelkää etukäteen vaihtoehtoinen reitti tositteiden vaihtoon, esimerkiksi salattu luovutus haavoittumattoman järjestelmän kautta. Tiedottakaa asiakkaille lyhyesti ja asiallisesti. Määräajat ja mahdolliset määräajan pidennykset hoidatte kuten tavallisesti ammatillisesti; pois käytöstä otettu portaali ei korvaa asioiden sopimista.
Korvaako kybervakuutus, jos olimme korjaamatta?
Se riippuu sopimuksenne ehdoista ja velvoitteista. Ilmoittakaa vakuutusyhtiölle ajoissa ja dokumentoikaa, milloin ryhdyitte mihinkin toimiin. Sitovan tiedon antaa vain vakuutusyhtiö tai välittäjänne.