Stručne: Pri IT bezpečnosti advokátskej kancelárie sa počíta každý systém, cez ktorý klienti posielajú alebo sťahujú dokumenty. Zistite, ktoré z nich bežia na PHP, nechajte si potvrdiť stav záplat a reštart a každý podozrivý prípad riešte tak, aby zostali zachované dôkazy a dôvernosť.
Kde advokátske kancelárie používajú PHP, často bez toho, aby to vedeli
Samotný kancelársky softvér je väčšinou v kancelárii alebo v špecializovanom dátovom centre. PHP sa nachádza inde: na webe kancelárie s formulárom na prvý dopyt, v cestách na nahrávanie podkladov, v online rezervácii termínov a vo vlastne prevádzkovaných dátových miestnostiach. Mnohé kancelárie používajú na bezpečnú výmenu dokumentov vlastný Nextcloud, ktorý nastavila systémová firma.
Práve tieto dátové miestnosti obsahujú to najcitlivejšie, čo kancelária má: podania, plnomocenstvá, návrhy zmlúv, posudky, dôkazné fotografie, v trestných veciach aj vyšetrovacie spisy. PHP2Shell umožňuje útočníkom spustiť kód bez prihlásenia. Silné heslo na portáli proti tomu nepomôže.
Kancelárie so zameraním, ako je rodinné, pracovné alebo medicínske právo, spracúvajú navyše zdravotné údaje, posudky a detaily zo súkromného života. V obchodných kanceláriách sa nachádzajú podklady k transakciám, ktoré môžu byť pred zverejnením relevantné pre kurz. Aký materiál leží vo vašich portáloch, určuje, ako závažný je incident.
Mlčanlivosť a ochrana údajov: čo znamená únik
Pre advokátov platí profesijná povinnosť mlčanlivosti. Neoprávnené vyzradenie tajomstiev klientov môže byť podľa § 203 StGB trestné. Popri tom stoja povinnosti podľa GDPR, medzi ktoré pri vzťahu k zdraviu alebo k trestnému konaniu patria osobitné kategórie údajov.
Únik údajov preto zasiahne kancelárie dvojnásobne. Ohrozuje prebiehajúce mandáty, ak sa napríklad vyjednávacie pozície alebo návrhy zmieru dostanú do nesprávnych rúk. A poškodzuje dôveru, na ktorej zmluvný vzťah s klientom stojí. Či a ako musíte informovať klientov a dozorný orgán, posúďte so svojou zodpovednou osobou za ochranu údajov a s poradenstvom z hľadiska profesijného práva.
Web kancelárie ako nástroj podvodu
Kompromitovaný server kancelárie neslúži útočníkom iba ako zdroj údajov. S hlavičkovým papierom, spisovými značkami a skutočnými menami z klientskeho portálu sa dajú falšovať listy, ktoré sa sotva dajú odlíšiť od pravých. Obzvlášť citlivé sú výzvy na platbu, napríklad na sumy zmieru alebo poplatky, so zmeneným bankovým spojením.
Zneužiť sa dá aj formulár na prvý dopyt: útočník presmeruje dopyty na vlastnú adresu a ozve sa záujemcom v mene kancelárie. Po incidente by ste preto nemali nechať skontrolovať iba server, ale aj aktívne upozorniť klientov, že bankové spojenie nikdy nemeníte e-mailom.
Osobitná elektronická advokátska schránka (nemecký systém beA) a kancelársky softvér nebežia na vašom webovom serveri. Nebezpečné to je tam, kde sú na webovom serveri uložené prístupové údaje k e-mailovým účtom alebo iným systémom kancelárie.
IT bezpečnosť kancelárie: kto za čo zodpovedá?
V kanceláriách bez vlastného IT oddelenia sa úlohy spravidla rozdeľujú takto:
| Systém | Kto ho spravuje | Otvorená otázka pri PHP2Shell |
|---|---|---|
| Kancelársky softvér, pracovné stanice | systémová firma | väčšinou nie je dotknutý |
| Nextcloud alebo dátová miestnosť | systémová firma alebo poskytovateľ hostingu | Kto záplatuje PHP a reštartuje? |
| Web s formulármi | webová agentúra | Beží u poskytovateľa hostingu na aktuálnom PHP? |
| Online rezervácia termínov | externý poskytovateľ alebo plugin | Kde sú uložené záležitosti klientov? |
Medzera vzniká tam, kde systémová firma pokladá web za vec agentúry a agentúra pokladá server za vec poskytovateľa hostingu. Pre každý systém si písomne zaznamenajte, kto aktualizuje PHP a reštartuje procesy.
Podozrivý server nečistite unáhlene. Kto ho nasadí odznova skôr, než sú zabezpečené stopy, nemôže neskôr preukázať, či a ktoré údaje klientov unikli.
Prvé hodiny: konať dôverne a vysledovateľne
- Dotknuté portály a dátové miestnosti pre klientov zablokovať, internú prácu viesť ďalej cez kancelársky softvér.
- Zálohovať logy od 20. 10. 2026 a zachovať stav servera skôr, než niekto zmaže súbory.
- Stav záplat a reštart si písomne vypýtať od prevádzkovateľa. Samotné zobrazené číslo verzie nestačí, pretože backporty ho môžu ponechať nezmenené.
- Určiť malý okruh, ktorý o incidente rozpráva, a pripraviť komunikáciu navonok.
- Zapojiť zodpovednú osobu za ochranu údajov a sledovať lehotu na oznámenie podľa GDPR.
Ako konkrétne pomáha PHP SOS?
- Pred prvým prístupom upravíme písomnú mlčanlivosť a obmedzíme prístup na nevyhnutné.
- Preveríme stav záplat, režim prevádzky a reštart všetkých systémov PHP kancelárie, ktoré sú dostupné z internetu.
- Pri podozrení zabezpečíme stopy forenzne, aby sa neskôr dalo preukázať, k čomu sa pristupovalo. Podrobnosti na našej stránke o IT forenznej analýze.
- Systémy vyčistíme a spevníme (hardening) a každý krok zdokumentujeme pre vedenie kancelárie, zodpovednú osobu za ochranu údajov a poisťovateľa.
- Na želanie prevezmeme priebežnú starostlivosť o portály, aby ďalšia zraniteľnosť PHP znova neostala ležať medzi systémovou firmou a agentúrou.
Časté otázky
Týka sa PHP2Shell aj nášho kancelárskeho softvéru?
Samotný kancelársky softvér zvyčajne nebeží na webovom serveri s PHP. Dotknuté môžu byť web, formuláre na nahrávanie, vlastne prevádzkované dátové miestnosti, ako Nextcloud, a portály postavené na PHP. Jasno prinesie zoznam všetkých systémov dostupných cez internet.
Smie externý IT dodávateľ pri incidente pristupovať k údajom klientov?
Profesijné právo a § 203 StGB (nemecký Trestný zákonník) pripúšťajú zapojenie spolupracujúcich poskytovateľov služieb za určitých podmienok, najmä pri záväzku mlčanlivosti. Aké požiadavky platia konkrétne pre vašu kanceláriu, preverte z hľadiska profesijného práva. My upravíme mlčanlivosť písomne pred prvým prístupom.
Musíme klientov o útoku informovať?
Pri riziku pre práva dotknutých osôb môže GDPR vyžadovať upovedomenie, popri tom prichádzajú do úvahy aj profesijnoprávne úvahy. Rozhodnutie patrí vedeniu kancelárie a zodpovednej osobe za ochranu údajov. Zosúladená komunikácia zabráni protichodným vyhláseniam.