# IT-biztonság ingatlankezelőknek és ingatlanvállalkozásoknak

> Bérlői portál, kárbejelentés, bérlői nyilatkozat: így védik az ingatlankezelők és ingatlancégek PHP-rendszereiket a PHP2Shell ellen, és óvják a bérlőket.

Forrás: https://phpsos.de/hu/branchen/immobilien-hausverwaltung/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Egy ingatlankezelő IT-biztonságánál elsősorban azok a rendszerek számítanak, amelyeken keresztül a bérlők és a tulajdonosok adatot küldenek be: portálok, kárbejelentések és lakásjelentkezési űrlapok. Tisztázza, melyek futnak az Ön saját szerverén, igazoltassa a PHP-javítást, és tartson készenlétben pótutat a sürgős kárbejelentésekhez.

## Milyen PHP-rendszereket használnak az ingatlankezelők és az ingatlanközvetítők

Sok kezelő ágazati szoftverrel dolgozik az ingatlanokhoz, bérleti díjakhoz és rezsiköltségekhez. Kifelé további rendszerek jönnek: bérlői és tulajdonosi portálok dokumentumtárral, online űrlapok kárbejelentésekhez fotófeltöltéssel, lakásajánlatok érdeklődői űrlappal és bérlői nyilatkozattal, tulajdonosi közgyűlések területei jegyzőkönyvekkel és határozatokkal.

Ennek egy részét a szoftverszolgáltató üzemelteti szolgáltatásként, egy másik rész a saját weboldalon fut, gyakran WordPress ingatlan-bővítményekkel. A PHP2Shell szempontjából éppen ez a megkülönböztetés a döntő.

Ide jönnek az interfészek, amelyeket a mindennapokban alig valaki vesz észre: az ingatlanajánlatok automatikusan átkerülnek az ágazati szoftverből a weboldalra és az ingatlanportálokra, a fogyasztásmérő-állásokat mérésszolgáltatók küldik, a szakipari megbízások saját űrlapokon futnak. Mindegyik kapcsolathoz hozzáférési adatok kellenek, amelyeket gyakran a webszerveren tárolnak. Egy incidens után mindet meg kell újítani, különben a támadónak hátsó ajtó marad a szomszédos rendszerekbe.

## Milyen adatokat bíznak rá a bérlők és a tulajdonosok

Egy ingatlankezelőnél bérleti szerződések, csoportos beszedési megbízásokhoz tartozó bankszámlaszámok, rezsielszámolások, fogyasztásmérő-állások, hibákkal és vitás esetekkel kapcsolatos levelezés, valamint lakásokban készült fotók vannak. Az érdeklődőknél jövedelemigazolásokat, személyi igazolvány-másolatokat és hitelképességi lekérdezéseket tartalmazó nyilatkozatok jönnek hozzá. A tulajdonosi portálokon határozatok, tartalékok és részben zárrendszerekre vonatkozó információk találhatók.

A támadók számára ezek az adatok két okból érdekesek: lehetővé teszik a személyazonossággal való visszaélést, és mindent megadnak, ami a hiteles csalólevelekhez kell, például egy állítólagos új bankszámlaszámot a bérleti díjhoz. A feltöltött fájlok ráadásul tipikus támadási útvonalat jelentenek. Hogyan valósíthatók meg biztonságosan a feltöltések, azt a [Fájlfeltöltések PHP-ban](https://phpsos.de/hu/ratgeber/datei-upload-sicher/) útmutató magyarázza.

## Ingatlankezelés és IT-biztonság: mit jelent egy incidens

Ha a portál kiesik, hiányzik a csatorna a sürgős bejelentésekhez, mint a vízkárok vagy a fűtéskiesések. Ez nyomást kelt a telefonon és az ügyeleten, de tervezhető. Veszélyesebb egy észrevétlen támadás:

- A bérlők idegen IBAN-nal ellátott, hamis fizetési felszólításokat kapnak, amelyek valódi szerződéses adatokat említenek.
- Lakásjelentkezők nyilatkozatait lemásolják és csalásra használják.
- A tulajdonosok elveszítik a bizalmat a kezelőben, ami a következő közgyűlésen téma lesz.

Ha adatszivárgásra utaló jelek vannak, a felügyeleti hatóságnak való bejelentés a [GDPR 72 órás szabálya](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/) szerint szükséges lehet. Az értékelést az adatvédelmi felelősével együtt végezze el.

> **Azonnal cselekedjen:**
> Ha senki sem igazolja, hogy a portálja szerverén a PHP javítva van és újraindult, kapcsolja le a portált a hálózatról. A kárbejelentéseket átmenetileg irányítsa át telefonra és ügyeletre.

## A tipikus felelősségi rés

| Rendszer | Üzemeltetés | Ki javítja a PHP-t |
|---|---|---|
| Ágazati szoftver az irodában | IT-gondozó | többnyire nem érintett |
| Portál a szolgáltató szolgáltatásaként | szoftverszolgáltató | a szolgáltató, igazolást kell kérni |
| Portál saját szerveren | tárhelyszolgáltató vagy szolgáltató | a szerződés szerint, gyakran tisztázatlan |
| Weboldal lakásajánlatokkal | ügynökség és tárhelyszolgáltató | tárhelyszolgáltató webtárhelynél |

Ehhez jön, hogy a kisebb kezelőknél senkinek sincs teljes rálátása. Az ügynökség a weboldalt ismeri, az IT-gondozó az irodai gépeket, a szoftverszolgáltató a saját portálját.

## Tulajdonosok, tanácsok és bérlők helyes bevonása

A társasházkezelésben a tulajdonosok és a felügyelő tanácsok nem csupán érintettek, hanem megbízók is. Joggal várják el, hogy a kezelő egy incidensnél nyíltan és igazolhatóan számoljon be. Egy rövid jelentés az okról, az érintett rendszerekről, a megtett intézkedésekről és a nyitott állapotról jobb, mint a hallgatás a következő közgyűlésig.

A bérlőknek elsősorban gyakorlati tudnivalókra van szükségük: éppen melyik bejelentési út érvényes, hogy a bankszámlaszámok levélben nem változnak, és kinek továbbíthatják a gyanús üzeneteket. Az egyeztetett szövegek megakadályozzák, hogy a gondnok, az ügyintézés és a könyvelés különböző felvilágosítást adjon.

## Az első órák a vezetésnek

1. Listázza fel az összes portált és űrlapot, és mindegyiknél tisztázza, hol fut.
2. Igazoltassa írásban a javítási állapotot a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra, illetve a backportot és az újraindítást.
3. Mentse a naplókat 2026. 10. 20-tól, és ellenőriztesse a feltöltési könyvtárakat ismeretlen fájlok szempontjából.
4. Ellenőrizze a portálok munkatársi fiókjait, és a tisztítás után védje őket [kétfaktoros bejelentkezéssel](https://phpsos.de/hu/ratgeber/zwei-faktor-admin/).
5. Óvintézkedésként hívja fel a bérlők figyelmét arra, hogy a bankszámlaszámok levélben nem változnak.

## Hogyan segít konkrétan a PHP SOS?

- Felmérjük a portáljait és űrlapjait, és a szolgáltatóval, az ügynökséggel és a tárhelyszolgáltatóval tisztázzuk a felelősségi köröket.
- Ellenőrizzük a javítási állapotot és az újraindítást, és megvizsgáljuk a feltöltési mappákat és adatbázisokat webshellek után kutatva.
- Fertőzés esetén a [feltört weboldalakra szóló vészhelyzeti segítségnyújtás](https://phpsos.de/hu/leistungen/website-gehackt-notfallhilfe/) keretében megtisztítunk, és az incidenst dokumentáljuk az adatvédelmi felelős és a biztosító számára.
- A [biztonsági karbantartási szerződéssel](https://phpsos.de/hu/leistungen/security-wartungsvertrag/) a PHP a szervereken tartósan naprakész és felügyelt marad.


## Gyakori kérdések

**A bérlői portálunk egy szolgáltató szoftvere. Érintettek vagyunk?**  
Ha a portál szolgáltatásként fut a szolgáltatónál, ő felel a szerverért és a PHP-ért. Kérdezzen rá nála írásban az állapotra. Ha ugyanez a szoftver az Ön saját szerverén vagy a tárhelyszolgáltatójánál fut, a javítás és az újraindítás Önnél vagy a szolgáltatójánál van.

**A bérlői nyilatkozat mely adatai különösen kényesek?**  
A jövedelemigazolások, a személyi igazolványok másolatai, a hitelképességi lekérdezések és a munkáltatóra vonatkozó adatok alkalmasak személyazonossággal való visszaélésre és csalásra. Csak addig szabad őket tárolni, ameddig a bérbeadáshoz szükséges. Hogy ez meddig tart, azt az adatvédelmi felelősével tisztázza.

**Hogyan akadályozzuk meg a bérlőknek küldött hamis fizetési felszólításokat?**  
Közölje a bérlőkkel, hogy a bankszámlaszáma levélben vagy portálüzenetben nem változik meg anélkül, hogy Ön azt egy második úton megerősítené. Egy incidens után aktívan figyelmeztesse a bérlőket. Technikailag a portálok megerősítése és a munkatársi fiókok kétfaktoros bejelentkezése segít.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR 33. cikk: bejelentés a felügyeleti hatóságnak](https://dsgvo-gesetz.de/art-33-dsgvo/)