Na kratko: Pri IT-varnosti odvetniške pisarne šteje vsak sistem, prek katerega stranke pošiljajo ali prevzemajo dokumente. Ugotovite, kateri od njih tečejo na PHP, dajte potrditi stanje popravkov in ponovni zagon ter vsak sum obravnavajte tako, da dokazi in zaupnost ostanejo ohranjeni.
Kje odvetniške pisarne uporabljajo PHP, pogosto ne da bi vedele
Programska oprema za pisarno sama je večinoma v pisarni ali v specializiranem računalniškem središču. PHP najdemo drugje: na spletni strani pisarne z obrazcem za prvo povpraševanje, v poteh za nalaganje dokumentov, v spletnih rezervacijah terminov in v lastnih podatkovnih sobah. Številne pisarne za varno izmenjavo dokumentov uporabljajo lasten Nextcloud, ki ga je vzpostavila sistemska hiša.
Prav te podatkovne sobe vsebujejo najobčutljivejše, kar pisarna ima: vloge, pooblastila, osnutke pogodb, izvedenska mnenja, dokazne fotografije, pri kazenskih zadevah tudi preiskovalne spise. PHP2Shell omogoča napadalcem izvedbo kode brez prijave. Močno geslo na portalu proti temu ne pomaga.
Pisarne s težišči, kot so družinsko, delovno ali medicinsko pravo, dodatno obdelujejo zdravstvene podatke, izvedenska mnenja in podrobnosti iz zasebnega življenja. V gospodarskih pisarnah ležijo dokumenti o transakcijah, ki so lahko pred objavo pomembni za borzni tečaj. Kakšno gradivo leži v vaših portalih, določa, kako težak je incident.
Poklicna skrivnost in varstvo podatkov: kaj pomeni uhajanje
Za odvetnice in odvetnike velja poklicnopravna dolžnost molčečnosti. Nepooblaščeno razkritje skrivnosti strank je lahko kaznivo po § 203 StGB. Poleg tega so tu obveznosti iz GDPR, med katere pri zdravstvenem ali kazenskopostopkovnem sklicu sodijo posebne kategorije podatkov.
Uhajanje podatkov zato odvetniške pisarne zadene dvojno. Ogroža tekoče mandate, če na primer pogajalska izhodišča ali osnutki poravnav pridejo v napačne roke. In škoduje zaupanju, na katerem temelji razmerje med odvetnikom in stranko. Ali in kako morate obvestiti stranke in nadzorni organ, ocenite s pooblaščencem za varstvo podatkov in poklicnopravnim svetovanjem.
Spletna stran pisarne kot orodje za goljufijo
Ogrožen strežnik pisarne napadalcem ne služi samo kot vir podatkov. Z glavo pisma, spisovno številko in pravimi imeni iz portala strank je mogoče ponarediti dopise, ki jih je komaj mogoče ločiti od pravih. Posebej občutljivi so plačilni pozivi, na primer za poravnave ali stroške, s spremenjeno bančno povezavo.
Zlorabiti je mogoče tudi obrazec za prvo povpraševanje: napadalec povpraševanja preusmeri na lasten naslov in se potencialnim strankam oglasi v imenu pisarne. Po incidentu zato ne dajte preveriti samo strežnika, ampak stranke aktivno opozorite, da bančnih povezav nikoli ne spreminjate po e-pošti.
Posebni elektronski odvetniški predal (beA, nemški sistem) in programska oprema za pisarno ne tečeta na vašem spletnem strežniku. Nevarno postane tam, kjer so na spletnem strežniku shranjeni dostopni podatki za poštne račune ali druge sisteme pisarne.
IT-varnost odvetniške pisarne: kdo je za kaj odgovoren?
V pisarnah brez lastnega IT-oddelka se naloge praviloma porazdelijo takole:
| Sistem | Kdo ga vzdržuje | Odprto vprašanje pri PHP2Shell |
|---|---|---|
| Programska oprema za pisarno, delovna mesta | sistemska hiša | večinoma ni prizadeto |
| Nextcloud ali podatkovna soba | sistemska hiša ali ponudnik gostovanja | Kdo popravlja PHP in ga znova zažene? |
| Spletna stran z obrazci | spletna agencija | Ali pri ponudniku gostovanja teče na aktualnem PHP? |
| Spletno naročanje na termin | zunanji ponudnik ali vtičnik | Kje ležijo zadeve strank? |
Vrzel nastane tam, kjer sistemska hiša meni, da je spletna stran stvar agencije, agencija pa, da je strežnik stvar ponudnika gostovanja. Za vsak sistem pisno določite, kdo posodablja PHP in znova zaganja procese.
Sumljivega strežnika ne čistite prenagljeno. Kdor ga postavi znova, preden so sledi zavarovane, pozneje ne more več dokazati, ali in kateri podatki strank so uhajali.
Prve ure: ravnati zaupno in sledljivo
- Prizadete portale in podatkovne sobe za stranke zaprite, notranje delo nadaljujte prek programske opreme za pisarno.
- Zavarujte dnevnike od 20. 10. 2026 in ohranite stanje strežnika, preden kdo izbriše datoteke.
- Pri upravljavcu pisno poizvedite o stanju popravkov in ponovnem zagonu. Prikazana številka različice sama ne zadošča, ker jo lahko backporti pustijo nespremenjeno.
- Določite ozek krog, ki o incidentu govori, in pripravite komuniciranje navzven.
- Vključite pooblaščenca za varstvo podatkov in spremljajte rok za prijavo po GDPR.
Kako konkretno pomaga PHP SOS?
- Pred prvim dostopom uredimo pisno molčečnost in dostop omejimo na nujno.
- Preverimo stanje popravkov, način delovanja in ponovni zagon vseh sistemov PHP pisarne, ki so dosegljivi iz interneta.
- Ob sumu forenzično zavarujemo sledi, da je pozneje mogoče dokazati, do česa je bil dostop. Podrobnosti na naši strani o IT-forenziki.
- Sisteme očistimo in utrdimo ter vsak korak dokumentiramo za vodstvo pisarne, pooblaščenca za varstvo podatkov in zavarovalnico.
- Na željo prevzamemo stalno vzdrževanje portalov, da naslednja ranljivost PHP ne obtiči spet med sistemsko hišo in agencijo.
Pogosta vprašanja
Ali PHP2Shell prizadene našo programsko opremo za pisarno?
Prava programska oprema za pisarno večinoma ne teče na spletnem strežniku PHP. Prizadeti so lahko spletna stran, obrazci za nalaganje, lastne podatkovne sobe, kot je Nextcloud, in portali, ki temeljijo na PHP. Jasnost prinese popis vseh sistemov, dosegljivih prek interneta.
Sme zunanji IT-izvajalec ob incidentu dostopati do podatkov strank?
Poklicno pravo in § 203 StGB (nemški kazenski zakonik) pod določenimi pogoji dovoljujeta vključitev sodelujočih izvajalcev, zlasti z zavezo k molčečnosti. Katere zahteve veljajo za vašo pisarno v posameznem primeru, preverite s stališča poklicnega prava. Molčečnost pred prvim dostopom uredimo pisno.
Ali moramo stranke obvestiti o napadu?
Pri tveganju za pravice prizadetih lahko GDPR zahteva obvestilo, poleg tega so tu poklicnopravni premisleki. Odločitev spada v roke vodstva pisarne in pooblaščenca za varstvo podatkov. Usklajeno komuniciranje preprečuje nasprotujoče si izjave.