Lyhyesti: Jos yhdistyksenne verkkosivu on hakkeroitu tai toimii korjaamattomalla PHP:llä, ei tarvita suurta budjettia vaan selkeä vastuu. Yksi hallituksen jäsen kysyy hosting-yritykseltä korjaustilaa, turvaa tunnukset ja tarvittaessa päättää ottaa sivun hetkeksi pois käytöstä. Jäsentiedot ovat tällöin tärkeämpiä kuin tapahtumakalenteri.
Miten yhdistysten verkkosivut tyypillisesti on rakennettu
Useimmat yhdistysten ja liittojen sivut toimivat WordPressillä tai Joomlalla, ja ne on perustanut innokas jäsen, usein monta vuotta sitten. Tyypillisiä toimintoja: tapahtumat ja pelijärjestykset, valokuvagalleriat, jäsenalue pöytäkirjoineen, verkkojäsenhakemukset SEPA-suoraveloitusvaltuutuksineen, lahjoituslomakkeet sekä ilmoittautumiset kursseille, turnauksiin tai matkoille.
Liitot ylläpitävät lisäksi portaaleja jäsenyrityksille tai paikallisosastoille, luottamuksellisia asiakirjoja sisältäviä toimielinalueita ja seminaarivarauksia. Lähes kaikki tämä perustuu PHP:hen ja sijaitsee edullisella verkkohostingilla.
Mitä jäsentietoja palvelimella on
Verkkojäsenhakemuksissa on nimiä, syntymäaikoja, osoitteita ja pankkitietoja. Urheiluseuroissa monet jäsenet ovat alaikäisiä, ja hakemuksissa mainitaan silloin myös huoltajat. Jotkin tiedot kuuluvat GDPR:n 9 artiklan mukaisiin erityisiin tietoryhmiin, esimerkiksi terveystiedot kuntoutus- ja vammaisurheilussa tai kuuluminen ammattiliittoihin ja uskonnollisiin yhteisöihin.
Usein palvelimella on lisäksi unohtuneita tiedostoja: jäsenluetteloita taulukkona rahastonhoitajalle, vientejä yhdistyksen lehden jakelua varten, vanhoja varmuuskopioita. Juuri ne kopioidaan hyökkäyksessä helposti.
Liitoilla mukaan tulevat muut tiedot: jäsenyritysten yhteyshenkilöt ja tunnusluvut, lausuntoluonnokset, hallituksen ja asiantuntijavaliokuntien kokousten pöytäkirjat. Se, mistä on keskusteltu luottamuksellisesti, voi vuotaessaan heikentää neuvotteluasemia tai asettaa jäseniä toisiaan vastaan. Liitoille jäsenalue on siksi usein arkaluonteisempi kuin julkinen verkkosivusto.
Yhdistys ja hakkeroitu verkkosivu: mitä se käytännössä tarkoittaa
- Pankkitietojen väärinkäyttö: Nimillä ja IBAN-tilinumeroilla voi valmistella väärennettyjä suoraveloituksia tai petossähköposteja yhdistyksen nimissä.
- Maine paikkakunnalla: Yhdistyksen sivu, joka ohjaa epäilyttäviin tarjouksiin, huomataan jäsenten, sponsorien ja paikallislehdistön keskuudessa.
- Ilmoitusvelvollisuus: Myös yhdistykset ovat GDPR:n mukaisia rekisterinpitäjiä. Tietovuodon sattuessa ilmoitus valvontaviranomaiselle 72 tunnin kuluessa voi olla tarpeen. Suuremmilla yhdistyksillä on siihen tietosuojavastaava, pienemmät kääntyvät kattojärjestön tai oikeudellisen neuvonnan puoleen.
Tyypillinen aukko: vapaaehtoistyö ja hallituksen vaihtuminen
Yhdistyksessä usein vain yksi henkilö tuntee tekniset yksityiskohdat. Kun hän eroaa tai hallitus vaihtuu, tunnukset puuttuvat eikä kukaan tiedä, mikä PHP-versio on käytössä. CMS-päivitys ei sulje PHP2Shelliä. PHP:stä vastaa tavallisessa verkkohostingissa hosting-yritys, mutta tiedustelun on tultava yhdistykseltä.
Sopikaa hallituksessa, kuka vastaa verkkosivusta, ja tallentakaa verkkotunnuksen, hostingin ja ylläpitoalueen tunnukset niin, että vähintään kaksi henkilöä pääsee niihin käsiksi. Suojatkaa ylläpitäjätilit kaksivaiheisella tunnistautumisella.
Ensiaskeleet hallitukselle
- Kysykää hosting-yritykseltä kirjallisesti: onko PHP paketillemme päivitetty versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai korjattu backportilla ja käynnistetty uudelleen?
- Ilman selkeää vastausta tai poikkeamien ilmetessä poistakaa sivu tilapäisesti käytöstä. Tapahtumat voi sillä aikaa jakaa kiertokirjeellä.
- Pyytäkää hosting-yritystä säilyttämään lokit 20.10.2026 alkaen.
- Poistakaa palvelimelta vanhat jäsenluettelot, viennit ja käyttämättömät lisäosat sekä ylimääräiset ylläpitäjätilit.
- Jos on viitteitä tietovuodosta, ottakaa mukaan tietosuojavastaava tai kattojärjestö.
Priorisoikaa järkevästi pienellä budjetilla
Yhdenkään yhdistyksen ei tarvitse toteuttaa jokaista tietoturvatoimenpidettä kerralla. Järkevä järjestys perustuu vahingon suuruuteen: ensin suojataan tai poistetaan kaikki, mikä sisältää pankkitietoja ja lasten tietoja. Sitten kirjautumisellista sivut, siis jäsenalue ja ylläpitäjän pääsy. Viimeisenä tapahtumat, kertomukset ja galleriat, jotka ovat joka tapauksessa julkisia.
Usein edullisin ratkaisu on luovuttaa toimintoja sen sijaan, että ylläpitäisi niitä itse. Jäsenhakemukset ja suoraveloitusvaltuutukset voi hoitaa yhdistyshallinto-ohjelmalla, jota ylläpitää palveluntarjoaja, itse rakennetun lomakkeen sijaan. Liittojen, joilla on portaaleja jäsenyrityksille, kannattaa tarkistaa, onko niillä luottamuksellisia toimielinasiakirjoja, jotka olisivat paremmin erikseen suojatussa järjestelmässä. Mitä vähemmän tietoja yhdistyksen verkkosivulla on, sitä vähemmän vaivaa seuraava haavoittuvuus aiheuttaa.
Miten PHP SOS auttaa konkreettisesti?
- Autamme hallitusta saamaan tunnukset takaisin ja selvitämme hosting-yrityksen kanssa korjaustilan.
- Epäilyn herätessä tarkistamme sivun haittakoodin ja tuntemattomien tilien varalta ja puhdistamme sen hätäapumme kautta.
- Siivoamme kohdennetusti: mitä yhdistys ei tarvitse, se poistetaan sen sijaan, että sitä suojattaisiin edelleen.
- Annamme mukaan lyhyen, ymmärrettävän luovutusdokumentin, jotta seuraavakin hallitus tietää, mitä missäkin on.
Usein kysytyt kysymykset
Onko hallitus vastuussa, jos yhdistyksen verkkosivu hakkeroidaan?
Yhdistys vastaa jäsentensä tiedoista, ja hallitus edustaa yhdistystä. Tuleeko henkilökohtainen vastuu kyseeseen ja kuinka pitkälle, riippuu yksittäistapauksesta ja yhdistyksen säännöistä. Se on kysymys oikeudelliselle neuvonnalle tai kattojärjestölle.
Verkkovastaavamme erosi. Miten saamme tunnukset?
Hosting-yrityksen sopimuskumppani on yleensä yhdistys. Edustusoikeuden todisteella, esimerkiksi rekisteriotteella, hallitus voi pyytää hosting-yritystä nollaamaan tunnukset. Sen jälkeen tunnusten tulisi olla paikassa, johon vähintään kahdella hallituksen jäsenellä on pääsy.
Mikä ei maksa mitään ja auttaa heti?
Kysykää hosting-yritykseltä kirjallisesti PHP:n korjaustilaa, poistakaa käyttämättömät ylläpitäjätilit, poistakaa tarpeettomat lisäosat ja poistakaa vanhat jäsenviennit palvelimelta. Se vähentää riskiä selvästi, mutta ei korvaa tarkistusta, jos hakkeroinnista on jo merkkejä.