Krótko: Dla bezpieczeństwa IT doradców podatkowych rozstrzygające jest to, które systemy biuro prowadzi samo. Duże portale dostawców oprogramowania leżą w ich odpowiedzialności, a własna strona, formularze przesyłania plików i pokoje danych w Państwa. Te powinny teraz działać na załatanym PHP, z restartem i pisemnym dowodem.
Które systemy w biurach podatkowych działają na PHP
Do księgowości finansowej i płac większość biur używa wyspecjalizowanego oprogramowania i jego portali. Obok tego z biegiem lat powstają własne rozwiązania: formularz przesyłania dokumentów na stronie, kwestionariusze do podatku dochodowego, strona dla nowych pracowników klientów do wprowadzania danych płacowych, portal rekrutacyjny lub własny Nextcloud dla dużych plików.
Te systemy działają prawie zawsze na PHP i są obsługiwane przez agencję, firmę informatyczną lub firmę hostingową. Właśnie małe formularze idą w zapomnienie, ponieważ zostały raz skonfigurowane i od tego czasu po prostu działają. Często przesłane dokumenty leżą wtedy latami w katalogu przesyłanych plików na serwerze WWW, choć dawno zostały przetworzone w oprogramowaniu biura.
Jakie dane są stawką
Biura podatkowe przetwarzają dane w gęstości, jakiej nie osiąga prawie żadna inna branża: IBAN i wyciągi z konta, numery identyfikacji podatkowej, zaświadczenia o dochodach, listy wspólników i listy płac. Dane płacowe zawierają niekiedy także szczególne kategorie według art. 9 RODO, na przykład przynależność wyznaniową do celów podatku kościelnego.
Dochodzi do tego tajemnica zawodowa: doradcy podatkowi są zobowiązani do zachowania poufności, a nieuprawnione ujawnienie może być w Niemczech karalne na podstawie § 203 StGB (niemiecki kodeks karny). Wiele osób, których dane dotyczą, w ogóle nie jest Państwa klientami, lecz ich pracownikami. Przy wycieku krąg poszkodowanych szybko się więc powiększa.
Bezpieczeństwo IT doradców podatkowych: co konkretnie wywołuje incydent
Atak na biuro podatkowe ma typowe skutki, które różnią się od innych branż:
- Oszustwa z prawdziwymi danymi: Kto zna faktury, rachunki bankowe i osoby kontaktowe, może wysyłać klientom łudząco prawdziwe wezwania do zapłaty.
- Presja terminów: Jeśli portal przesyłania plików przestanie działać w sezonie składania deklaracji, dokumenty się piętrzą, a klienci przechodzą na niebezpieczne drogi, takie jak niezaszyfrowane e-maile.
- Zaufanie: Klienci polegają na tym, że ich finanse pozostaną poufne. Incydent, o którym dowiadują się z prasy, waży więcej niż taki, o którym biuro samo rzeczowo informuje.
Jeśli Państwa portal przesyłania plików działa na serwerze, którego stanu poprawek PHP nikt nie może potwierdzić, proszę odłączyć go od sieci, dopóki poprawka i restart nie zostaną udowodnione. Tak zaleca BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) dla serwerów, których nie da się od razu zaktualizować.
Luka w odpowiedzialności między firmą informatyczną a agencją
Firma informatyczna obsługuje oprogramowanie biura i stanowiska pracy, agencja stronę, firma hostingowa serwer. Kto odpowiada za PHP na serwerze WWW, rzadko wprost wynika z umowy. Proszę to teraz wyjaśnić i kazać sobie potwierdzić stan pakietu. Jak ocenić te dane, wyjaśnia instrukcja Sprawdzanie wersji PHP i stanu poprawek.
Wersje z usuniętą luką to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Jeśli interfejs pokazuje starszy stan, mimo to mógł zostać wprowadzony backport. I odwrotnie: aktualizacja bez restartu procesów PHP nie wystarcza.
Co klienci powinni teraz od Państwa wiedzieć
Klienci reagują na wiadomości o lukach bezpieczeństwa niepewnością, zwłaszcza jeśli regularnie przesyłają dokumenty. Krótka, rzeczowa informacja buduje wtedy zaufanie: jakie drogi wymiany dokumentów obowiązują obecnie, że biuro nigdy nie zmienia rachunków bankowych e-mailem i że podejrzane wezwania do zapłaty należy weryfikować telefonicznie.
Dla klientów będących przedsiębiorstwami sensowna jest jeszcze jedna wskazówka: biura płacowe i działy kadr powinny zachować szczególną uwagę przy zapytaniach o dane o wynagrodzeniach lub zmienione rachunki bankowe pracowników. Takie próby oszustwa chętnie wykorzystują wiedzę pochodzącą z biur. To, czy konkretny incydent wymaga formalnego zawiadomienia na podstawie RODO, jest odrębnym pytaniem, które wyjaśniają Państwo z inspektorem ochrony danych.
Pierwsze godziny dla kierownictwa biura
- Wypisać wszystkie własne systemy PHP dostępne z internetu, także stare formularze i instalacje testowe.
- Dla każdego systemu kazać na piśmie potwierdzić stan poprawek i restart albo tymczasowo go wyłączyć.
- Zabezpieczyć logi od 20.10.2026 i ustalić bezpieczną drogę zastępczą dla wymiany dokumentów.
- Wcześnie poinformować ubezpieczyciela i inspektora ochrony danych. Czego wymaga Państwa umowa, wyjaśnia strona o ubezpieczeniu cyber.
Jak PHP SOS pomaga w praktyce?
- Inwentaryzujemy wszystkie dostępne z zewnątrz systemy PHP biura i ustalamy, które leżą u dostawcy oprogramowania, a które u Państwa.
- W ramach natychmiastowej pomocy przy PHP2Shell łatamy lub zlecamy załatanie, restartujemy wszystkie procesy worker i dokumentujemy wynik.
- Sprawdzamy katalogi przesyłanych plików i bazy danych pod kątem webshelli i nieznanych dostępów.
- Porządkujemy: to, czego już nie potrzeba, wyłączamy w uzgodnieniu z Państwem zamiast dalej łatać.
- Dzięki umowie serwisowej bezpieczeństwa odpowiedzialność za PHP pozostaje potem jasno uregulowana.
Częste pytania
Czy wymiana dokumentów przez duże portale oprogramowania jest dotknięta?
Portale, które dostawca oprogramowania prowadzi we własnym centrum danych, leżą w jego odpowiedzialności. Za ich stan poprawek odpowiada dostawca. Dotknięte mogą być przede wszystkim systemy, które biuro prowadzi samo lub przez agencję, na przykład formularze na stronie, strony do przesyłania plików lub własny Nextcloud.
Dlaczego dane doradców podatkowych są dla atakujących tak interesujące?
Biuro podatkowe skupia dane wielu firm i osób prywatnych: rachunki bankowe, dochody, numery identyfikacji podatkowej i dane płacowe pracowników. Pozwalają one przygotować wiarygodne e-maile oszukańcze i nadużycia tożsamości. Jeden incydent dotyka w ten sposób często setek osób, które nigdy nie zleciły niczego biuru bezpośrednio.
Co robić, gdy portal musi przejść w tryb offline w środku sezonu składania deklaracji?
Proszę z góry ustalić zastępczą drogę wymiany dokumentów, na przykład szyfrowane przekazanie przez niedotknięty system. Proszę krótko i rzeczowo poinformować klientów. Terminy i ewentualne przedłużenia terminów ustalają Państwo merytorycznie jak zwykle; portal wyłączony z sieci nie zastępuje uzgodnienia.
Czy ubezpieczenie cyber zapłaci, jeśli nie mieliśmy poprawek?
Zależy to od warunków i obowiązków ubezpieczonego w Państwa umowie. Proszę wcześnie poinformować ubezpieczyciela i udokumentować, kiedy podjęli Państwo jakie działania. Wiążącej informacji udzieli tylko ubezpieczyciel lub Państwa broker.