Em resumo: para a segurança informática dos consultores fiscais, o decisivo é saber que sistemas o escritório opera por si. Os grandes portais dos fornecedores de software são da responsabilidade destes; o site do escritório, os formulários de upload e as salas de dados são da sua. Estes devem agora passar para PHP com patch, com reinício e comprovativo escrito.
Que sistemas dos escritórios fiscais correm em PHP
Para a contabilidade financeira e os salários, a maioria dos escritórios usa software especializado e os respetivos portais. A par disso, ao longo dos anos surgem soluções próprias: um formulário de upload no site para documentos, questionários sobre o imposto sobre o rendimento, uma página para novos colaboradores dos clientes registarem os dados mestre de salários, um portal de candidaturas ou um Nextcloud próprio para ficheiros grandes.
Estes sistemas correm quase sempre em PHP e são mantidos por uma agência, uma empresa de sistemas ou um fornecedor de alojamento. Os pequenos formulários, em particular, caem no esquecimento, porque foram configurados uma vez e desde então funcionam simplesmente. Com frequência, os documentos carregados ficam então anos na pasta de uploads do servidor web, embora há muito tenham sido processados no software do escritório.
Que dados estão em jogo
Os escritórios fiscais tratam dados com uma densidade que quase nenhum outro setor atinge: IBAN e extratos bancários, números de identificação fiscal, comprovativos de rendimentos, listas de sócios e recibos de vencimento. Os dados salariais contêm por vezes também categorias especiais nos termos do Art. 9 do RGPD, por exemplo a filiação religiosa para o imposto eclesiástico alemão (Kirchensteuer).
A isto junta-se o sigilo profissional: os consultores fiscais estão obrigados a confidencialidade, e a divulgação não autorizada pode ser punível nos termos do § 203 StGB (Código Penal alemão). E muitos dos afetados nem sequer são clientes seus, mas sim os seus trabalhadores. Numa fuga, o círculo de afetados cresce assim rapidamente.
Segurança informática dos consultores fiscais: o que um incidente desencadeia concretamente
Um ataque a um escritório fiscal tem consequências típicas, que diferem das de outros setores:
- Fraude com dados reais: quem conhece faturas, dados bancários e interlocutores pode enviar aos clientes pedidos de pagamento de aparência genuína.
- Pressão de prazos: se o portal de upload falha na época de entrega, os documentos acumulam-se e os clientes recorrem a vias inseguras, como e-mails não cifrados.
- Confiança: os clientes contam com que as suas finanças permaneçam confidenciais. Um incidente de que tomam conhecimento pela imprensa pesa mais do que um sobre o qual o próprio escritório informa de forma objetiva.
Se o seu portal de upload estiver num servidor cujo nível de patch do PHP ninguém consegue confirmar, desligue-o da rede até haver comprovativo de patch e reinício. É o que o BSI (Gabinete Federal Alemão para a Segurança da Informação) recomenda para servidores que não podem ser atualizados de imediato.
A lacuna de responsabilidade entre empresa de sistemas e agência
A empresa de sistemas ocupa-se do software do escritório e dos postos de trabalho, a agência do site, o fornecedor de alojamento do servidor. Quem é responsável pelo PHP no servidor web raramente consta expressamente do contrato. Esclareça isso agora e peça a confirmação do estado do pacote. Como interpretar as indicações, explica-o o guia Verificar a versão do PHP e o nível de patch.
As versões corrigidas são o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se uma interface mostrar um nível mais antigo, pode ainda assim ter sido instalado um backport. Inversamente, uma atualização sem reinício dos processos PHP não basta.
O que os clientes devem saber agora da sua parte
Os clientes reagem com insegurança às notícias sobre vulnerabilidades de segurança, sobretudo quando carregam documentos regularmente. Uma informação breve e objetiva gera então confiança: que vias estão atualmente em vigor para a troca de documentos, que o escritório nunca altera dados bancários por e-mail e que os pedidos de pagamento suspeitos devem ser confirmados por telefone.
Para clientes empresariais, é útil mais uma indicação: os gabinetes de salários e os departamentos de pessoal devem estar particularmente atentos a pedidos sobre dados salariais ou sobre alterações de dados bancários de colaboradores. Estas tentativas de fraude gostam de usar conhecimento proveniente de escritórios. Se um incidente concreto exige uma comunicação formal nos termos do RGPD é uma questão própria, que esclarece com o seu encarregado da proteção de dados.
As primeiras horas para a direção do escritório
- Listar todos os sistemas PHP próprios acessíveis a partir da Internet, incluindo formulários antigos e instalações de teste.
- Para cada sistema, pedir por escrito a confirmação do nível de patch e do reinício ou desligá-lo temporariamente.
- Guardar os registos desde 20/10/2026 e definir uma via alternativa segura para a troca de documentos.
- Informar cedo a seguradora e o encarregado da proteção de dados. O que o seu contrato exige, explica-o a página sobre o ciberseguro.
Como ajuda concretamente a PHP SOS?
- Registamos todos os sistemas PHP do escritório acessíveis externamente e esclarecemos quais estão no fornecedor de software e quais consigo.
- No âmbito da ajuda imediata PHP2Shell, aplicamos o patch ou mandamos aplicá-lo, reiniciamos todos os workers e comprovamos o resultado.
- Verificamos diretórios de upload e bases de dados quanto a webshells e acessos desconhecidos.
- Arrumamos: o que já não é necessário desligamos, em articulação consigo, em vez de continuar a aplicar-lhe patches.
- Com um contrato de manutenção de segurança, a responsabilidade pelo PHP fica depois claramente regulada.
Perguntas frequentes
A troca de documentos através de grandes portais de software está afetada?
Os portais que um fornecedor de software opera no seu próprio centro de dados são da responsabilidade desse fornecedor. Pelo nível de patch desses portais responde o fornecedor. Podem estar afetados sobretudo sistemas que o seu escritório opera por si ou através de uma agência, como formulários do site, páginas de upload ou um Nextcloud próprio.
Por que razão os dados dos consultores fiscais são tão interessantes para os atacantes?
Um escritório fiscal concentra dados de muitas empresas e particulares: dados bancários, rendimentos, números de identificação fiscal e dados salariais de trabalhadores. Com isso, preparam-se e-mails fraudulentos credíveis e usurpação de identidade. Um único incidente afeta assim, muitas vezes, centenas de pessoas que nunca contrataram diretamente o escritório.
O que fazer se o portal tiver de ficar offline em plena época de entrega?
Defina previamente uma via alternativa para a troca de documentos, por exemplo uma entrega cifrada através de um sistema não afetado. Informe os clientes de forma breve e objetiva. Os prazos e as possíveis prorrogações esclarece-os como habitualmente, do ponto de vista técnico; um portal desligado não substitui a articulação com o cliente.
O ciberseguro paga se não tínhamos o patch aplicado?
Depende das condições e das obrigações do seu contrato. Informe cedo a seguradora e documente quando tomou cada medida. Informação vinculativa só a dá a seguradora ou o seu mediador.