Kort sagt: Är er förenings webbplats hackad eller står den på ej patchad PHP krävs ingen stor budget, men ett tydligt ansvar. En styrelseledamot frågar webbhotellet om patchnivån, säkrar åtkomsterna och beslutar vid behov att tillfälligt stänga av sidan. Medlemsuppgifter går då före almanackan.
Hur föreningswebbplatser typiskt är uppbyggda
De flesta förenings- och förbundssidor körs på WordPress eller Joomla, installerade av en engagerad medlem, ofta för många år sedan. Typiska funktioner: tider och spelscheman, fotogallerier, ett medlemsområde med protokoll, medlemsansökningar online med SEPA-autogirogodkännande, donationsformulär och anmälningar till kurser, turneringar eller resor.
Förbund driver dessutom portaler för medlemsföretag eller lokalavdelningar, områden för organ med konfidentiella handlingar och seminariebokningar. Nästan allt detta bygger på PHP och ligger på ett billigt webbhotell.
Vilka medlemsuppgifter som finns på servern
Medlemsansökningar online innehåller namn, födelsedata, adresser och bankuppgifter. I idrottsföreningar är många medlemmar minderåriga, och ansökningarna nämner då även vårdnadshavare. Vissa uppgifter hör till de särskilda kategorierna enligt art. 9 GDPR, till exempel hälsouppgifter inom rehabiliterings- och funktionsnedsättningsidrott eller medlemskap i fackföreningar och religiösa samfund.
Ofta finns dessutom bortglömda filer på servern: medlemslistor som tabell åt kassören, exporter för utskick av föreningstidningen, gamla säkerhetskopior. Just de kopieras snabbt vid ett angrepp.
Hos förbund tillkommer andra uppgifter: kontaktpersoner och nyckeltal från medlemsföretag, remissvar i utkast, protokoll från styrelse- och utskottssammanträden. Det som diskuterades konfidentiellt kan vid ett läckage försvaga förhandlingspositioner eller sätta medlemmar mot varandra. För förbund är medlemsområdet därför ofta känsligare än den offentliga webbplatsen.
Förening och hackad webbplats: vad det konkret betyder
- Missbruk av bankuppgifter: Med namn och IBAN kan förfalskade autogirodragningar eller bedrägerimejl i föreningens namn förberedas.
- Anseende i bygden: En föreningssida som omdirigerar till tveksamma erbjudanden märks av medlemmar, sponsorer och lokalpressen.
- Anmälningsskyldighet: Även föreningar är personuppgiftsansvariga enligt GDPR. Vid ett dataläckage kan en anmälan till tillsynsmyndigheten inom 72 timmar vara nödvändig. Större föreningar har ett dataskyddsombud för det, mindre vänder sig till paraplyorganisationen eller juridisk rådgivning.
Det typiska glappet: ideellt arbete och styrelsebyten
I föreningen känner ofta bara en person de tekniska detaljerna. Lämnar hon eller byter styrelsen saknas inloggningsuppgifter, och ingen vet vilken PHP-version som körs. En CMS-uppdatering stänger inte PHP2Shell. Ansvarig för PHP är vid vanligt webbhotell webbhotellet, men förfrågan måste komma från föreningen.
Fastställ i styrelsen vem som ansvarar för webbplatsen och lägg inloggningsuppgifterna till domän, hosting och adminområde så att minst två personer kommer åt dem. Skydda adminkonton med tvåfaktorsinloggning.
Första stegen för styrelsen
- Fråga webbhotellet skriftligen: Är PHP för vårt paket uppdaterat till 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller patchad via backport och omstartad?
- Utan tydligt svar eller vid avvikelser, stäng av sidan tillfälligt. Tider kan under tiden delas ut via e-postutskick.
- Be webbhotellet bevara loggar från och med den 20 oktober 2026.
- Ta bort gamla medlemslistor, exporter och oanvända plugin från servern och radera överflödiga adminkonton.
- Vid tecken på ett dataläckage, ta med dataskyddsombud eller paraplyorganisation.
Prioritera klokt med liten budget
Ingen förening behöver genomföra varje säkerhetsåtgärd på en gång. Meningsfullt är en ordning efter skada: Först skydda eller ta bort allt som innehåller bankuppgifter och uppgifter om barn. Därefter sidorna med inloggning, alltså medlemsområde och adminåtkomst. Sist tider, rapporter och gallerier som ändå är offentliga.
Ofta är den billigaste lösningen att lämna ifrån sig funktioner i stället för att driva dem själv. Medlemsansökningar och autogirogodkännanden kan hanteras via ett föreningsadministrationssystem som en leverantör driver, i stället för via ett egenbyggt formulär. Förbund med portaler för medlemsföretag bör kontrollera om det där finns konfidentiella handlingar från organ som vore bättre förvarade i ett separat skyddat system. Ju färre uppgifter som ligger på föreningens webbplats, desto mindre arbete orsakar nästa sårbarhet.
Hur hjälper PHP SOS konkret?
- Vi hjälper styrelsen att få tillbaka åtkomsterna och klarlägger patchnivån med webbhotellet.
- Vid misstanke kontrollerar vi sidan efter skadlig kod och okända konton och rensar den via vår nödhjälp.
- Vi städar riktat: Det som en förening inte behöver tas bort i stället för att skyddas vidare.
- Vi lämnar med en kort, begriplig överlämning så att även nästa styrelse vet vad som finns var.
Vanliga frågor
Är styrelsen ansvarig om föreningens webbplats hackas?
Föreningen är ansvarig för medlemmarnas uppgifter, och styrelsen företräder föreningen. Om och i vilken mån ett personligt ansvar kan komma i fråga beror på det enskilda fallet och på stadgarna. Det är en fråga för juridisk rådgivning eller paraplyorganisationen.
Vår webbmaster har lämnat föreningen. Hur får vi tag på åtkomsterna?
Avtalspart hos webbhotellet är i regel föreningen. Med ett bevis på behörighet att företräda föreningen, till exempel ett registerutdrag, kan styrelsen låta webbhotellet återställa åtkomsterna. Därefter bör inloggningsuppgifterna ligga på ett ställe som minst två styrelseledamöter kommer åt.
Vad kostar ingenting och hjälper direkt?
Fråga webbhotellet skriftligen om PHP-patchnivån, radera oanvända adminkonton, ta bort plugin som inte längre behövs och radera gamla medlemsexporter från servern. Det sänker risken tydligt men ersätter ingen granskning om det redan finns tecken på en hackning.