Krótko: W bezpieczeństwie IT kancelarii liczy się każdy system, przez który klienci wysyłają lub pobierają dokumenty. Proszę ustalić, które z nich działają na PHP, kazać potwierdzić stan poprawek i restart oraz traktować każdy przypadek podejrzenia tak, aby zachować dowody i poufność.
Gdzie kancelarie używają PHP, często o tym nie wiedząc
Samo oprogramowanie kancelaryjne znajduje się zwykle w biurze lub w wyspecjalizowanym centrum danych. PHP występuje w innych miejscach: na stronie kancelarii z formularzem pierwszego zapytania, w ścieżkach przesyłania dokumentów, w internetowej rezerwacji terminów i we własnych pokojach danych. Wiele kancelarii korzysta do bezpiecznej wymiany dokumentów z własnego Nextcloud, skonfigurowanego przez firmę informatyczną.
Właśnie te pokoje danych zawierają to, co w kancelarii najwrażliwsze: pisma procesowe, pełnomocnictwa, projekty umów, opinie, zdjęcia dowodowe, a w sprawach karnych także akta śledztwa. PHP2Shell umożliwia atakującym wykonanie kodu bez logowania. Silne hasło w portalu nie pomaga.
Kancelarie specjalizujące się w prawie rodzinnym, pracy lub medycznym przetwarzają dodatkowo informacje o zdrowiu, opinie i szczegóły z życia prywatnego. W kancelariach gospodarczych znajdują się dokumenty dotyczące transakcji, które przed ich ogłoszeniem mogą mieć wpływ na kursy. To, jakie materiały leżą w Państwa portalach, decyduje o wadze incydentu.
Tajemnica zawodowa i ochrona danych: co oznacza wyciek
Dla adwokatów i radców obowiązuje zawodowy obowiązek zachowania tajemnicy. Nieuprawnione ujawnienie tajemnic klientów może być w Niemczech karalne na podstawie § 203 StGB (niemiecki kodeks karny). Obok tego są obowiązki z RODO, do których przy związku ze zdrowiem lub postępowaniem karnym należą szczególne kategorie danych.
Wyciek danych uderza więc w kancelarie podwójnie. Zagraża toczącym się sprawom, gdy na przykład stanowiska negocjacyjne lub projekty ugód trafią w niepowołane ręce. I niszczy zaufanie, na którym opiera się stosunek pełnomocnictwa. To, czy i jak muszą Państwo informować klientów i organy nadzoru, oceniają Państwo z inspektorem ochrony danych i przy pomocy doradztwa z zakresu prawa zawodowego.
Strona kancelarii jako narzędzie oszustwa
Skompromitowany serwer kancelarii służy atakującym nie tylko jako źródło danych. Mając papier firmowy, sygnatury akt i prawdziwe nazwiska z portalu klienta, można fałszować pisma, które trudno odróżnić od prawdziwych. Szczególnie wrażliwe są wezwania do zapłaty, na przykład kwot ugody lub opłat, ze zmienionym rachunkiem bankowym.
Także formularz pierwszego zapytania może zostać nadużyty: atakujący przekierowuje zapytania na własny adres i zgłasza się do zainteresowanych w imieniu kancelarii. Po incydencie powinni Państwo więc nie tylko kazać sprawdzić serwer, lecz także aktywnie poinformować klientów, że kancelaria nigdy nie zmienia rachunków bankowych e-mailem.
Specjalna elektroniczna skrzynka adwokacka (beA, niemiecki system komunikacji prawników z sądami) i oprogramowanie kancelaryjne nie działają na Państwa serwerze WWW. Niebezpiecznie robi się tam, gdzie na serwerze WWW zapisane są dane dostępowe do kont pocztowych lub innych systemów kancelarii.
Bezpieczeństwo IT kancelarii: kto za co odpowiada?
W kancelariach bez własnego działu IT zadania rozkładają się zwykle tak:
| System | Kto go obsługuje | Otwarte pytanie przy PHP2Shell |
|---|---|---|
| Oprogramowanie kancelaryjne, stanowiska pracy | Firma informatyczna | zwykle niedotknięte |
| Nextcloud lub pokój danych | Firma informatyczna lub firma hostingowa | Kto łata PHP i restartuje? |
| Strona z formularzami | Agencja internetowa | Czy działa u firmy hostingowej na aktualnym PHP? |
| Internetowa rezerwacja terminów | Dostawca zewnętrzny lub wtyczka | Gdzie znajdują się sprawy klientów? |
Luka powstaje tam, gdzie firma informatyczna uważa stronę za sprawę agencji, a agencja serwer za sprawę firmy hostingowej. Proszę ustalić na piśmie dla każdego systemu, kto aktualizuje PHP i restartuje procesy.
Nie należy pochopnie oczyszczać podejrzanego serwera. Kto zainstaluje go od nowa, zanim zabezpieczone zostaną ślady, nie będzie mógł później wykazać, czy i jakie dane klientów wyciekły.
Pierwsze godziny: działać poufnie i w sposób możliwy do odtworzenia
- Zablokować dotknięte portale i pokoje danych dla klientów, pracę wewnętrzną kontynuować przez oprogramowanie kancelaryjne.
- Zabezpieczyć logi od 20.10.2026 i zachować stan serwera, zanim ktokolwiek usunie pliki.
- Zapytać operatora na piśmie o stan poprawek i restart. Sam wyświetlany numer wersji nie wystarcza, ponieważ backporty mogą go pozostawić bez zmian.
- Wyznaczyć wąski krąg osób, które rozmawiają o incydencie, i przygotować komunikację na zewnątrz.
- Włączyć inspektora ochrony danych i mieć na oku termin zgłoszenia z RODO.
Jak PHP SOS pomaga w praktyce?
- Przed pierwszym dostępem regulujemy poufność na piśmie i ograniczamy dostęp do tego, co niezbędne.
- Sprawdzamy stan poprawek, tryb pracy i restart wszystkich systemów PHP kancelarii dostępnych z internetu.
- Przy podejrzeniu zabezpieczamy ślady metodami śledczymi, aby później dało się wykazać, do czego uzyskano dostęp. Szczegóły na naszej stronie o informatyce śledczej.
- Oczyszczamy i utwardzamy systemy oraz dokumentujemy każdy krok dla kierownictwa kancelarii, inspektora ochrony danych i ubezpieczyciela.
- Na życzenie przejmujemy bieżące utrzymanie portali, aby kolejna luka w PHP nie utknęła znów między firmą informatyczną a agencją.
Częste pytania
Czy nasze oprogramowanie kancelaryjne jest dotknięte przez PHP2Shell?
Właściwe oprogramowanie kancelaryjne zwykle nie działa na serwerze WWW z PHP. Dotknięte mogą być strona internetowa, formularze przesyłania plików, własne pokoje danych, takie jak Nextcloud, oraz portale zbudowane na PHP. Jasność daje inwentaryzacja wszystkich systemów dostępnych przez internet.
Czy zewnętrzny dostawca usług IT może w razie incydentu mieć dostęp do danych klientów?
Prawo zawodowe i § 203 StGB (niemiecki kodeks karny) dopuszczają zaangażowanie współpracujących usługodawców pod określonymi warunkami, w szczególności przy zobowiązaniu do zachowania poufności. Jakie wymogi obowiązują w Państwa kancelarii w szczególności, sprawdzają Państwo na gruncie prawa zawodowego. Poufność regulujemy na piśmie przed pierwszym dostępem.
Czy musimy informować klientów o ataku?
Przy ryzyku dla praw osób, których dane dotyczą, RODO może wymagać zawiadomienia, obok tego pojawiają się rozważania z zakresu prawa zawodowego. Decyzja należy do kierownictwa kancelarii i inspektora ochrony danych. Uzgodniona komunikacja zapobiega sprzecznym wypowiedziom.