Röviden: Az adótanácsadók IT-biztonságánál az a döntő, hogy mely rendszereket üzemelteti maga az iroda. A szoftvergyártók nagy portáljai az ő felelősségük, az iroda saját weboldala, feltöltési űrlapjai és adatszobái viszont az Öné. Ezeknek most javított PHP-n kell futniuk, újraindítással és írásos igazolással.
Mely rendszerek futnak PHP-n az adótanácsadói irodákban
A pénzügyi könyvelésre és a bérszámfejtésre a legtöbb iroda szakosított szoftvert és annak portáljait használja. Emellett az évek során saját megoldások is keletkeznek: egy feltöltő űrlap a weboldalon a bizonylatoknak, jövedelemadó-kérdőívek, egy oldal az ügyfelek új munkatársainak a bérszámfejtési törzsadatok rögzítéséhez, egy jelentkezési portál vagy egy saját üzemeltetésű Nextcloud a nagy fájloknak.
Ezek a rendszerek szinte mindig PHP-n futnak, és egy ügynökség, egy rendszerház vagy egy tárhelyszolgáltató gondozza őket. Éppen a kis űrlapok merülnek feledésbe, mert egyszer beállították őket, és azóta egyszerűen működnek. Gyakran a feltöltött bizonylatok évekig a webszerver feltöltési mappájában maradnak, noha az irodai szoftverben már rég feldolgozták őket.
Milyen adatok forognak kockán
Az adótanácsadói irodák olyan sűrűségben kezelnek adatokat, amelyet alig valamelyik másik ágazat ér el: IBAN-ok és számlakivonatok, adóazonosítók, jövedelemigazolások, tulajdonosi listák és bérszámfejtések. A bérszámfejtési adatok néha a GDPR 9. cikke szerinti különleges kategóriákat is tartalmaznak, például az egyházi adóhoz tartozó vallási hovatartozást.
Ehhez jön a hivatásbeli titoktartás: az adótanácsadók titoktartásra kötelezettek, és a jogosulatlan felfedés a német Btk. (StGB) 203. §-a (német jogszabály) szerint büntetendő lehet. Az érintettek közül sokan pedig egyáltalán nem az Ön ügyfelei, hanem azok alkalmazottai. Adatszivárgásnál az érintettek köre így gyorsan megnő.
Adótanácsadók IT-biztonsága: mit vált ki konkrétan egy incidens
Egy adótanácsadói iroda elleni támadásnak jellegzetes következményei vannak, amelyek eltérnek más ágazatokétól:
- Csalás valódi adatokkal: aki ismeri a számlákat, bankszámlaszámokat és kapcsolattartókat, megtévesztően valódi fizetési felszólításokat küldhet az ügyfeleknek.
- Határidő-nyomás: ha a feltöltő portál a bevallási időszakban kiesik, felgyűlnek a bizonylatok, az ügyfelek pedig nem biztonságos utakra, például titkosítatlan levelekre térnek át.
- Bizalom: az ügyfelek abban bíznak, hogy pénzügyeik bizalmasak maradnak. Egy incidens, amelyről a sajtóból értesülnek, súlyosabban esik latba, mint az, amelyről az iroda maga tájékoztat tárgyszerűen.
Ha a feltöltő portálja olyan szerveren áll, amelynek PHP-javítási állapotát senki sem tudja igazolni, kapcsolja le a hálózatról, amíg a javítás és az újraindítás nincs bizonyítva. Így ajánlja a BSI (a német szövetségi információbiztonsági hivatal) azoknak a szervereknek, amelyeket nem lehet azonnal frissíteni.
A felelősségi rés a rendszerház és az ügynökség között
A rendszerház az irodai szoftvert és a munkaállomásokat gondozza, az ügynökség a weboldalt, a tárhelyszolgáltató a szervert. Hogy ki felel a webszerveren futó PHP-ért, az ritkán áll kifejezetten a szerződésben. Tisztázza ezt most, és igazoltassa a csomag állapotát. Hogyan értékelje az adatokat, azt a PHP-verzió és javítási állapot ellenőrzése útmutató magyarázza.
A javított verziók: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Ha egy felület régebbi állapotot mutat, mégis lehet, hogy backportot telepítettek. Fordítva, a PHP-folyamatok újraindítása nélküli frissítés nem elég.
Mit kell most tudniuk az ügyfeleknek Öntől
Az ügyfelek bizonytalansággal reagálnak a biztonsági rések híreire, különösen, ha rendszeresen töltenek fel bizonylatokat. Ilyenkor egy rövid, tárgyszerű tájékoztatás bizalomépítő hatású: jelenleg mely útvonalak érvényesek a bizonylatcserére, hogy az iroda a bankszámlaszámot soha nem változtatja meg levélben, és hogy a gyanús fizetési felszólításokról telefonon kell visszakérdezni.
A vállalati ügyfeleknek érdemes még egy tanácsot adni: a bérirodáknak és a HR-osztályoknak különösen figyelmesnek kell lenniük a fizetési adatokra vagy a munkavállalók megváltozott bankszámlaszámaira irányuló megkeresésekre. Az ilyen csalási kísérletek szívesen használnak olyan tudást, amely irodákból származik. Hogy egy konkrét incidens formális GDPR szerinti értesítést tesz-e szükségessé, az külön kérdés, amelyet az adatvédelmi felelősével tisztázzon.
Az első órák az iroda vezetésének
- Listázza fel az összes saját, az internetről elérhető PHP-rendszert, a régi űrlapokat és tesztpéldányokat is.
- Minden rendszerhez igazoltassa írásban a javítási állapotot és az újraindítást, vagy kapcsolja ki átmenetileg.
- Mentse a naplókat 2026. 10. 20-tól, és jelöljön ki biztonságos pótutat a bizonylatcseréhez.
- Tájékoztassa korán a biztosítót és az adatvédelmi felelőst. Hogy mit kíván meg a szerződése, azt a kiberbiztosításról szóló oldal magyarázza.
Hogyan segít konkrétan a PHP SOS?
- Felmérjük az iroda összes kívülről elérhető PHP-rendszerét, és tisztázzuk, melyik van a szoftvergyártónál, és melyik Önnél.
- A PHP2Shell azonnali segítség keretében javítunk vagy javíttatunk, újraindítjuk az összes workert, és igazoljuk az eredményt.
- Ellenőrizzük a feltöltési könyvtárakat és az adatbázisokat webshellek és ismeretlen hozzáférések szempontjából.
- Rendet teszünk: ami már nem kell, azt egyeztetve kikapcsoljuk, ahelyett hogy tovább javítanánk.
- A biztonsági karbantartási szerződéssel a PHP-ért való felelősség ezután is egyértelműen szabályozott marad.
Gyakori kérdések
Érinti a nagy szoftverportálokon keresztül történő bizonylatcsere?
Azok a portálok, amelyeket egy szoftvergyártó a saját adatközpontjában üzemeltet, az ő felelősségi körébe tartoznak. A javítási állapotért a gyártó felel. Érintettek főként azok a rendszerek lehetnek, amelyeket az iroda maga vagy egy ügynökségen keresztül üzemeltet, például weboldali űrlapok, feltöltő oldalak vagy saját Nextcloud.
Miért olyan érdekesek az adótanácsadók adatai a támadóknak?
Az adótanácsadói iroda sok vállalkozás és magánszemély adatait gyűjti egybe: bankszámlákat, jövedelmeket, adóazonosítókat és munkavállalók bérszámfejtési adatait. Ezekkel hihető csalólevelek és személyazonossággal való visszaélés készíthető elő. Egyetlen incidens így gyakran több száz embert is érinthet, akik az irodát közvetlenül soha nem bízták meg.
Mit tegyünk, ha a portált a bevallási időszak közepén kell lekapcsolni?
Előre jelöljön ki egy pótutat a bizonylatcseréhez, például titkosított átadást egy nem érintett rendszeren keresztül. Tájékoztassa röviden és tárgyszerűen az ügyfeleket. A határidőket és az esetleges haladékot a szokásos módon, szakmailag egyeztesse, a lekapcsolt portál ezt nem helyettesíti.
Fizet a kiberbiztosítás, ha nem voltunk javítva?
Ez a szerződés feltételeitől és együttműködési kötelezettségeitől függ. Tájékoztassa korán a biztosítót, és dokumentálja, mikor milyen intézkedést tett. Kötelező érvényű felvilágosítást csak a biztosító vagy a közvetítője adhat.