Stručne: Pre IT bezpečnosť daňových poradcov je rozhodujúce, ktoré systémy kancelária prevádzkuje sama. Veľké portály poskytovateľov softvéru sú v ich zodpovednosti, vlastný web, formuláre na nahrávanie a dátové miestnosti naopak vo vašej. Tie patria teraz na záplatované PHP, s reštartom a písomným dokladom.
Ktoré systémy v daňových kanceláriách bežia na PHP
Pre finančné účtovníctvo a mzdy používa väčšina kancelárií špecializovaný softvér a jeho portály. Popri tom v priebehu rokov vznikajú vlastné riešenia: formulár na nahrávanie dokladov na webe, dotazníky k dani z príjmov, stránka pre nových zamestnancov klientov na zadávanie kmeňových mzdových údajov, portál pre uchádzačov o zamestnanie alebo vlastne prevádzkovaný Nextcloud na veľké súbory.
Tieto systémy bežia takmer vždy na PHP a spravuje ich agentúra, systémová firma alebo poskytovateľ hostingu. Práve malé formuláre upadajú do zabudnutia, pretože boli raz nastavené a odvtedy jednoducho fungujú. Nahrané doklady potom často ležia roky v adresári pre nahrávanie webového servera, hoci sú už dávno spracované v kancelárskom softvéri.
Ktoré údaje sú v stávke
Daňové kancelárie spracúvajú údaje v hustote, akú dosiahne len máloktoré odvetvie: IBAN a výpisy z účtov, daňové identifikátory, doklady o príjmoch, zoznamy spoločníkov a mzdové zúčtovania. Mzdové údaje obsahujú niekedy aj osobitné kategórie podľa čl. 9 GDPR, napríklad príslušnosť k náboženskej spoločnosti pre cirkevnú daň (v Nemecku).
K tomu pristupuje profesijné tajomstvo: daňoví poradcovia sú povinní mlčanlivosťou, neoprávnené vyzradenie môže byť podľa § 203 StGB (nemecký Trestný zákonník) trestné. A mnohí dotknutí nie sú vôbec vaši klienti, ale ich zamestnanci. Pri úniku sa okruh dotknutých osôb preto rýchlo rozrastá.
IT bezpečnosť daňového poradcu: čo incident konkrétne spustí
Útok na daňovú kanceláriu má typické následky, ktoré sa líšia od iných odvetví:
- Podvod so skutočnými údajmi: Kto pozná faktúry, bankové spojenia a kontaktné osoby, môže klientom posielať klamlivo pravé výzvy na platbu.
- Tlak termínov: Ak portál na nahrávanie vypadne v období podávania priznaní, doklady sa hromadia a klienti sa uchyľujú k nezabezpečeným cestám, ako sú nešifrované e-maily.
- Dôvera: Klienti sa spoliehajú na to, že ich financie zostanú dôverné. Incident, o ktorom sa dozvedia z tlače, váži viac než ten, o ktorom ich kancelária sama vecne informuje.
Ak váš portál na nahrávanie beží na serveri, ktorého stav záplat PHP nevie nikto potvrdiť, odpojte ho od siete, kým nie je záplata a reštart preukázaný. Takto to odporúča BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pre servery, ktoré sa nedajú okamžite aktualizovať.
Medzera v zodpovednosti medzi systémovou firmou a agentúrou
Systémová firma spravuje kancelársky softvér a pracovné stanice, agentúra web, poskytovateľ hostingu server. Kto zodpovedá za PHP na webovom serveri, v zmluve spravidla výslovne nie je. Vyjasnite si to teraz a nechajte si potvrdiť stav balíka. Ako údaje zaradiť, vysvetľuje návod Kontrola verzie PHP a stavu záplat.
Opravené verzie sú PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Ak rozhranie ukazuje staršiu verziu, môže byť napriek tomu nasadený backport. Naopak, aktualizácia bez reštartu procesov PHP nestačí.
Čo by mali klienti teraz od vás vedieť
Klienti reagujú na správy o bezpečnostných zraniteľnostiach neistotou, najmä ak pravidelne nahrávajú doklady. Stručná, vecná informácia potom buduje dôveru: aké cesty na výmenu dokladov aktuálne platia, že kancelária nikdy nemení bankové spojenia e-mailom a že podozrivé výzvy na platbu by sa mali overiť telefonicky.
Pre firemných klientov je užitočné ďalšie upozornenie: mzdové oddelenia a personálne oddelenia by mali byť obzvlášť pozorné pri dopytoch na platové údaje alebo zmenené bankové spojenia zamestnancov. Takéto pokusy o podvod rady využívajú vedomosti, ktoré pochádzajú z kancelárií. Či si konkrétny incident vyžaduje formálne upovedomenie podľa GDPR, je osobitná otázka, ktorú vyjasnite so svojou zodpovednou osobou za ochranu údajov.
Prvé hodiny pre vedenie kancelárie
- Vypísať všetky vlastné systémy PHP dostupné z internetu, aj staré formuláre a testovacie inštalácie.
- Pre každý systém nechať písomne potvrdiť stav záplat a reštart, alebo ho dočasne vypnúť.
- Zálohovať logy od 20. 10. 2026 a určiť bezpečnú náhradnú cestu na výmenu dokladov.
- Včas informovať poisťovateľa a zodpovednú osobu za ochranu údajov. Čo vyžaduje vaša zmluva, vysvetľuje stránka o kybernetickom poistení.
Ako konkrétne pomáha PHP SOS?
- Zmapujeme všetky zvonka dostupné systémy PHP kancelárie a vyjasníme, ktoré sú u poskytovateľa softvéru a ktoré u vás.
- V rámci okamžitej pomoci pri PHP2Shell záplatujeme alebo dáme záplatovať, reštartujeme všetky workery a výsledok preukážeme.
- Preveríme adresáre pre nahrávanie a databázy na webshelly a neznáme prístupy.
- Upracujeme: čo sa už nepotrebuje, po dohode vypneme, namiesto toho, aby sa ďalej záplatovalo.
- S bezpečnostnou zmluvou o údržbe zostane zodpovednosť za PHP potom jasne upravená.
Časté otázky
Týka sa to výmeny dokladov cez veľké softvérové portály?
Portály, ktoré poskytovateľ softvéru prevádzkuje vo vlastnom dátovom centre, sú v jeho zodpovednosti. Za ich stav záplat zodpovedá poskytovateľ. Dotknuté môžu byť predovšetkým systémy, ktoré vaša kancelária prevádzkuje sama alebo cez agentúru, napríklad formuláre na webe, stránky na nahrávanie alebo vlastný Nextcloud.
Prečo sú údaje daňových poradcov pre útočníkov také zaujímavé?
Daňová kancelária sústreďuje údaje mnohých firiem a súkromných osôb: bankové spojenia, príjmy, daňové identifikátory a mzdové údaje zamestnancov. Dajú sa z nich pripraviť dôveryhodné podvodné e-maily a zneužitie identity. Jediný incident tak často zasiahne stovky ľudí, ktorí kanceláriu nikdy priamo nepoverili.
Čo robiť, ak musí byť portál uprostred obdobia podávania priznaní offline?
Vopred určte náhradnú cestu na výmenu dokladov, napríklad šifrované odovzdanie cez nedotknutý systém. Klientov informujte stručne a vecne. Lehoty a možné predĺženia lehôt riešte odborne ako zvyčajne; portál odpojený od siete nie je náhradou za dohodu.
Plní kybernetické poistenie, ak sme boli nezáplatovaní?
Závisí to od podmienok a povinností vo vašej zmluve. Poisťovateľa informujte včas a zdokumentujte, kedy ste prijali ktoré opatrenie. Záväznú informáciu poskytne iba poisťovateľ alebo váš maklér.