Na kratko: Za IT-varnost davčnih svetovalcev je odločilno, katere sisteme pisarna upravlja sama. Veliki portali ponudnikov programske opreme so v njihovi odgovornosti, lastna spletna stran, obrazci za nalaganje in podatkovne sobe pa v vaši. Ti sedaj sodijo na popravljen PHP, s ponovnim zagonom in pisnim dokazilom.
Kateri sistemi v davčnih pisarnah tečejo na PHP
Za finančno knjigovodstvo in plače večina pisarn uporablja specializirano programsko opremo in njene portale. Poleg tega skozi leta nastanejo lastne rešitve: obrazec za nalaganje listin na spletni strani, vprašalniki za dohodnino, stran za nove zaposlene strank za vnos matičnih podatkov o plačah, portal za prijave ali lasten Nextcloud za velike datoteke.
Ti sistemi skoraj vedno tečejo na PHP in jih vzdržuje agencija, sistemska hiša ali ponudnik gostovanja. Prav majhni obrazci zapadejo v pozabo, ker so bili enkrat vzpostavljeni in od takrat preprosto delujejo. Naložene listine potem pogosto leta ležijo v mapi za nalaganje na spletnem strežniku, čeprav so že zdavnaj obdelane v programski opremi pisarne.
Kateri podatki so na kocki
Davčne pisarne obdelujejo podatke v gostoti, ki jo dosega komaj katera druga panoga: IBAN in bančne izpiske, davčne številke, dokazila o dohodkih, sezname družbenikov in obračune plač. Podatki o plačah občasno vsebujejo tudi posebne kategorije po 9. členu GDPR, na primer versko pripadnost za cerkveni davek.
Poleg tega je tu poklicna skrivnost: davčni svetovalci so zavezani k molčečnosti, nepooblaščeno razkritje je lahko kaznivo po § 203 StGB (nemški kazenski zakonik). In številni prizadeti sploh niso vaše stranke, ampak njihovi zaposleni. Pri uhajanju se krog prizadetih zato hitro širi.
IT-varnost davčnih svetovalcev: kaj incident konkretno sproži
Napad na davčno pisarno ima značilne posledice, ki se razlikujejo od drugih panog:
- Goljufija s pravimi podatki: Kdor pozna račune, bančne povezave in kontaktne osebe, lahko strankam pošlje zavajajoče verodostojen plačilni poziv.
- Časovni pritisk rokov: Če portal za nalaganje v času oddaje odpove, se listine nabirajo, stranke pa se zatečejo k nevarnim potem, kot so nešifrirana e-pošta.
- Zaupanje: Stranke se zanašajo, da njihove finance ostanejo zaupne. Incident, o katerem izvejo iz tiska, teži bolj kot tisti, o katerem jih pisarna sama stvarno obvesti.
Če vaš portal za nalaganje stoji na strežniku, katerega stanja popravkov PHP nihče ne more potrditi, ga odklopite z omrežja, dokler popravek in ponovni zagon nista dokazana. Tako BSI (nemški zvezni urad za informacijsko varnost) priporoča za strežnike, ki jih ni mogoče takoj posodobiti.
Vrzel v odgovornosti med sistemsko hišo in agencijo
Sistemska hiša skrbi za programsko opremo pisarne in delovna mesta, agencija za spletno stran, ponudnik gostovanja za strežnik. Kdo je odgovoren za PHP na spletnem strežniku, v pogodbi redko izrecno piše. Razjasnite to zdaj in si dajte potrditi stanje paketa. Kako podatke razvrstiti, pojasnjuje navodilo Preverjanje različice PHP in stanja popravkov.
Odpravljene različice so PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Če vmesnik prikazuje starejše stanje, je backport kljub temu lahko nameščen. Obratno posodobitev brez ponovnega zagona procesov PHP ne zadošča.
Kaj morajo stranke zdaj vedeti od vas
Stranke na novice o varnostnih ranljivostih reagirajo z negotovostjo, zlasti če redno nalagajo listine. Kratka, stvarna informacija tedaj gradi zaupanje: katere poti za izmenjavo listin trenutno veljajo, da pisarna bančnih povezav nikoli ne spreminja po e-pošti in da je sumljive plačilne pozive smiselno preveriti po telefonu.
Za podjetniške stranke je smiselno še eno opozorilo: obračun plač in kadrovske službe naj bodo posebej pozorne pri poizvedbah o plačah ali spremenjenih bančnih povezavah zaposlenih. Takšni poskusi goljufije radi uporabljajo znanje, ki izvira iz pisarn. Ali konkretni incident zahteva formalno obvestilo po GDPR, je ločeno vprašanje, ki ga razjasnite s pooblaščencem za varstvo podatkov.
Prve ure za vodstvo pisarne
- Naštejte vse lastne sisteme PHP, dosegljive iz interneta, tudi stare obrazce in testne namestitve.
- Za vsak sistem dajte pisno potrditi stanje popravkov in ponovni zagon ali ga začasno izklopite.
- Zavarujte dnevnike od 20. 10. 2026 in določite varno nadomestno pot za izmenjavo listin.
- Zavarovalnico in pooblaščenca za varstvo podatkov obvestite zgodaj. Kaj zahteva vaša pogodba, pojasnjuje stran o zavarovanju za kibernetska tveganja.
Kako konkretno pomaga PHP SOS?
- Zajamemo vse od zunaj dosegljive sisteme PHP pisarne in razjasnimo, kateri so pri ponudniku programske opreme in kateri pri vas.
- V okviru takojšnje pomoči pri PHP2Shell popravimo ali dosežemo popravek, znova zaženemo vse workerje in rezultat dokažemo.
- Mape za nalaganje in podatkovne zbirke preverimo glede webshellov in neznanih dostopov.
- Počistimo: kar ni več potrebno, v dogovoru izklopimo, namesto da bi ga še naprej popravljali.
- Z varnostno vzdrževalno pogodbo ostane odgovornost za PHP po tem jasno urejena.
Pogosta vprašanja
Ali je izmenjava listin prek velikih programskih portalov prizadeta?
Portali, ki jih ponudnik programske opreme upravlja v lastnem računalniškem središču, so v njegovi odgovornosti. Za njihovo stanje popravkov je odgovoren ponudnik. Prizadeti so lahko predvsem sistemi, ki jih vaša pisarna upravlja sama ali prek agencije, na primer obrazci na spletni strani, strani za nalaganje ali lasten Nextcloud.
Zakaj so podatki davčnih svetovalcev za napadalce tako zanimivi?
Davčna pisarna združuje podatke številnih podjetij in zasebnih oseb: bančne povezave, dohodke, davčne številke in podatke o plačah zaposlenih. S tem je mogoče pripraviti verodostojna goljufiva sporočila in zlorabo identitete. En sam incident tako pogosto zadene na stotine ljudi, ki pisarne nikoli niso neposredno pooblastili.
Kaj storiti, če mora portal sredi roka za oddajo izpasti?
Vnaprej določite nadomestno pot za izmenjavo listin, na primer šifrirano predajo prek neprizadetega sistema. Stranke obvestite kratko in stvarno. Roke in morebitne podaljšave razjasnite kot običajno strokovno; portal, vzet z omrežja, za to ni nadomestilo za uskladitev.
Ali zavarovanje za kibernetska tveganja plača, če nismo bili popravljeni?
To je odvisno od pogojev in obveznosti vaše pogodbe. Zavarovalnico obvestite zgodaj in dokumentirajte, kdaj ste sprejeli kateri ukrep. Zavezujoč odgovor da samo zavarovalnica ali vaš posrednik.