Stručne: Ak je web vášho spolku hacknutý alebo beží na nezáplatovanom PHP, nepotrebujete veľký rozpočet, ale jasnú zodpovednosť. Jeden člen výboru sa u poskytovateľa hostingu opýta na stav záplat, zabezpečí prístupy a v prípade potreby rozhodne o dočasnom vypnutí stránky. Údaje členov majú pritom prednosť pred kalendárom podujatí.
Ako sú weby spolkov typicky postavené
Väčšina webov spolkov a zväzov beží na WordPress alebo Joomla, nastavených angažovaným členom, často pred mnohými rokmi. Typické funkcie: termíny a rozpisy zápasov, fotogalérie, členská oblasť s protokolmi, online prihlášky za členov s mandátom na inkaso SEPA, formuláre na dary a prihlášky na kurzy, turnaje alebo výlety.
Zväzy navyše prevádzkujú portály pre členské firmy alebo miestne skupiny, oblasti pre orgány s dôvernými podkladmi a rezervácie seminárov. Takmer všetko z toho je založené na PHP a leží na lacnom webhostingu.
Ktoré údaje členov sú na serveri
Online prihlášky za členov obsahujú mená, dátumy narodenia, adresy a bankové spojenia. V športových kluboch je veľa členov maloletých, prihlášky potom uvádzajú aj zákonných zástupcov. Niektoré údaje patria medzi osobitné kategórie podľa čl. 9 GDPR, napríklad zdravotné údaje v rehabilitačnom a hendikepovanom športe alebo členstvo v odboroch a náboženských spoločenstvách.
Často na serveri ležia navyše zabudnuté súbory: zoznamy členov ako tabuľka pre pokladníka, exporty na rozosielanie spolkového časopisu, staré zálohy. Práve tie sa pri útoku rýchlo skopírujú.
U zväzov pristupujú iné údaje: kontaktné osoby a ukazovatele členských firiem, stanoviská v návrhu, protokoly zo zasadnutí predstavenstva a odborných výborov. To, čo sa tam dôverne prerokovalo, môže pri úniku oslabiť vyjednávacie pozície alebo poštvať členov proti sebe. Pre zväzy je preto členská oblasť často citlivejšia než verejný web.
Spolok a hacknutý web: čo to konkrétne znamená
- Zneužitie bankových údajov: S menom a IBAN sa dajú pripraviť falošné inkasá alebo podvodné e-maily v mene spolku.
- Povesť v obci: Webu spolku, ktorý presmerováva na pochybné ponuky, si všimnú členovia, sponzori a miestna tlač.
- Oznamovacia povinnosť: Aj spolky sú prevádzkovateľmi podľa GDPR. Pri úniku údajov môže byť potrebné oznámenie dozornému orgánu do 72 hodín. Väčšie spolky na to majú zodpovednú osobu za ochranu údajov, menšie sa obracajú na zastrešujúcu organizáciu alebo právne poradenstvo.
Typická medzera: dobrovoľníctvo a zmena výboru
V spolku často pozná technické detaily len jedna osoba. Ak odíde alebo sa mení výbor, chýbajú prístupové údaje a nikto nevie, ktorá verzia PHP beží. Aktualizácia CMS PHP2Shell neuzavrie. Za PHP je pri bežnom webhostingu zodpovedný poskytovateľ hostingu, otázka však musí prísť od spolku.
Vo výbore určte, kto zodpovedá za web, a prístupy k doméne, hostingu a administrácii uložte tak, aby k nim mali prístup aspoň dve osoby. Admin účty chráňte dvojfaktorovým prihlásením.
Prvé kroky pre výbor
- U poskytovateľa hostingu sa písomne opýtať: Je PHP pre náš balík aktualizované na 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, alebo záplatované backportom a reštartované?
- Bez jasnej odpovede alebo pri nezrovnalostiach stránku dočasne vypnúť. Termíny možno medzitým rozposlať obežníkom.
- Požiadať poskytovateľa hostingu, aby uchoval logy od 20. 10. 2026.
- Zo servera odstrániť staré zoznamy členov, exporty a nepoužívané pluginy a zmazať nadbytočné admin účty.
- Pri náznakoch úniku údajov zapojiť zodpovednú osobu za ochranu údajov alebo zastrešujúcu organizáciu.
S malým rozpočtom rozumne prioritizovať
Žiadny spolok nemusí zaviesť každé bezpečnostné opatrenie naraz. Zmysel má poradie podľa škody: najprv chrániť alebo odstrániť všetko, čo obsahuje bankové spojenia a údaje detí. Potom stránky s prihlásením, teda členskú oblasť a admin prístup. Nakoniec termíny, správy a galérie, ktoré sú aj tak verejné.
Najlacnejším riešením je často funkcie odovzdať, namiesto toho, aby ste ich prevádzkovali sami. Členské prihlášky a mandáty na inkaso sa dajú vybavovať cez evidenciu spolku, ktorú prevádzkuje poskytovateľ, namiesto vlastnoručne postaveného formulára. Zväzy s portálmi pre členské firmy by mali preveriť, či tam neležia dôverné podklady orgánov, ktoré by boli lepšie uložené v osobitne chránenom systéme. Čím menej údajov leží na webe spolku, tým menej práce spôsobí ďalšia zraniteľnosť.
Ako konkrétne pomáha PHP SOS?
- Pomôžeme výboru získať späť prístupy a s poskytovateľom hostingu vyjasníme stav záplat.
- Pri podozrení preveríme stránku na škodlivý kód a neznáme účty a vyčistíme ju našou núdzovou pomocou.
- Cielene upracujeme: čo spolok nepotrebuje, sa odstráni, namiesto toho, aby sa ďalej zabezpečovalo.
- Odovzdáme vám krátke, zrozumiteľné odovzdanie, aby aj ďalší výbor vedel, čo kde leží.
Časté otázky
Ručí výbor, ak je web spolku hacknutý?
Spolok zodpovedá za údaje svojich členov a výbor spolok zastupuje. Či a do akej miery prichádza do úvahy osobná zodpovednosť, závisí od konkrétneho prípadu a od stanov. Je to otázka pre právne poradenstvo alebo zastrešujúcu organizáciu.
Náš webmaster vystúpil. Ako sa dostaneme k prístupom?
Zmluvným partnerom poskytovateľa hostingu je spravidla spolok. S dokladom o oprávnení zastupovať, napríklad výpisom z registra, môže výbor požiadať poskytovateľa hostingu o obnovenie prístupov. Potom by mali byť prístupové údaje uložené na mieste, ku ktorému majú prístup aspoň dvaja členovia výboru.
Čo nestojí nič a pomôže hneď?
Opýtať sa u poskytovateľa hostingu písomne na stav záplat PHP, zmazať nepoužívané admin účty, odstrániť nepotrebné pluginy a zmazať zo servera staré exporty členov. To výrazne znižuje riziko, ale nenahrádza kontrolu, ak už existujú príznaky hacku.