Накратко: При сигурността на уебсайта на една аптека става дума за здравни данни: който поръча предварително лекарство или снима рецепта, издава нещо за здравето си. Изяснете кой управлява Вашия уеб сървър, поискайте потвърждение за PHP пача и рестартирането и внимавайте за скрита реклама на лекарства, която атакуващите охотно внедряват в уебсайтове на аптеки.
Какви PHP системи използват аптеките
Много аптеки имат уебсайт с работно време, указание за дежурство и форма за предварителна заявка. Често се добавя функция за качване на снимки на рецепти или планове за лечение, освен това запитвания за доставка по домовете и часове за консултации или ваксинации. Аптеките с дистанционна търговия и аптеките с онлайн търговия управляват допълнително магазин, например на WooCommerce или Shopware 6.
Някои сайтове идват от пакети за уебсайтове на кооперации или специализирани доставчици, други е изградила местна агенция. За PHP2Shell от това зависи кой управлява сървъра и следователно отговаря за PHP пача.
Особено показателни са запитванията за доставка по домовете. Те свързват домашен адрес, телефонен номер и лекарство, често на възрастни или нуждаещи се от грижи хора. Който прихване такива записи, знае кой живее сам, какви средства се ползват редовно и кога се доставя. Това ги прави интересни за измамници, които се обръщат целенасочено към възрастни хора.
Здравни данни: защо още формата за предварителна заявка е чувствителна
Име плюс лекарство дава здравни данни. Такива сведения спадат към специалните категории лични данни по чл. 9 от ОРЗД. За фармацевтите важи освен това задължение за мълчание, чието нарушение може да бъде наказуемо по § 203 StGB (германския Наказателен кодекс, германски закон).
На уеб сървъра такива данни се намират на няколко места: в базата данни на форм добавката, в качените снимки на рецепти, в опашките за имейли и в магазина с история на поръчките. Който може да изпълнява код чрез PHP2Shell, по правило достига до всичко това, без да му трябва вход.
Аптека и сигурност на уебсайта: какво причинява една атака
- Изтичане на данни: Предварителните заявки и снимките на рецепти позволяват изводи за заболявания. Рискът за засегнатите е висок, задълженията за уведомяване по ОРЗД са вероятни. 72-часовия срок оценявате със своето длъжностно лице по защита на данните.
- Фармацевтичен спам: Атакуващите внедряват скрити страници с реклама на лекарства по лекарско предписание. Търсачките понижават страницата или показват предупреждение, както е описано в наръчника Премахване на предупреждението на Google.
- Загубени предварителни заявки: Ако формата отпадне или пренасочва, клиентите стоят пред щанда, а лекарството не е поръчано.
- Манипулиран магазин: Променен код в процеса на поръчка може да прихваща платежни данни или да изпраща клиентите към фалшиви страници.
Актуализацията на магазина или на CMS не затваря PHP2Shell. Уязвимостта е отстранена едва с PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или с потвърден от доставчика backport, и едва след рестартиране на всички PHP процеси.
Празнината в отговорностите в аптеката
| Област | Обикновено отговаря | Често неизяснено |
|---|---|---|
| Управление на стоките, каси, TI (телематична инфраструктура) | Софтуерна фирма или ИТ на аптеката | Връзка към онлайн магазина |
| Уебсайт от пакет на кооперация | Доставчикът на пакета | писмено потвърждение за пача |
| Собствен уебсайт или магазин | Агенция и хостинг доставчик | кой актуализира PHP и рестартира |
В групи от аптеки се добавя, че всеки обект може да има собствени форми или домейни, които никой централно не води.
Оформяне на предварителната заявка и качването на рецепти със съобразяване на данните
Много форми на аптеки съхраняват повече от необходимото. За предварителна заявка са нужни име, начин за връзка и желаният препарат, а не дата на раждане, адрес или диагноза. Снимките на рецепти не бива да стоят трайно в публично достъпната папка за качване, а да се изтриват след получаването.
Проверете освен това накъде отиват данните от формите. Ако всяка предварителна заявка попада като некриптиран имейл в общ пощенски кутия, до която имат достъп много служители, кутията се нуждае от същата защита като сървъра. А ако форм добавка записва допълнително всяко запитване в базата данни, там с всеки месец расте архив със здравни данни, от който никой няма нужда.
Колкото по-малко стои на уеб сървъра, толкова по-малка е щетата, ако той все пак бъде компрометиран. Решението за сроковете на съхранение вземате със своето длъжностно лице по защита на данните.
Първите часове за ръководството на аптеката
- Попитайте оператора на уеб сървъра писмено за състоянието на PHP пача и рестартирането.
- Без потвърждение: изключете формата за предварителна заявка и качването на рецепти и преминете на телефон. Достатъчна е бележка на началната страница.
- Накарайте да се запазят логовете от 20.10.2026 г.
- В Google Search Console проверете дали се съобщават непознати страници или проблеми със сигурността.
- Накарайте да се изтрият старите снимки на рецепти и записи от форми, които вече не са нужни, след съгласуване с длъжностното лице по защита на данните.
Как помага PHP SOS конкретно?
- Уточняваме с доставчика на пакета, агенцията или хостинг доставчика кой пачва PHP и осигуряваме потвърждение със състоянието на пакета.
- Проверяваме уебсайта и магазина за уеб шелове, внедрен фармацевтичен спам и променен код на поръчките и премахваме намерения зловреден софтуер.
- Показваме къде на сървъра се намират здравни данни и помагаме да се ограничат срокът на съхранение и качванията.
- Документираме находките така, че Вашето длъжностно лице по защита на данните да може да оцени задължението за уведомяване.
Често задавани въпроси
Засегната ли е нашата система за управление на стоките от PHP2Shell?
Системата за управление на стоките на аптеката и достъпът до телематичната инфраструктура (германската здравна мрежа) по правило работят отделно от уебсайта. Засегнати са PHP уеб сървърите, т.е. най-често уебсайтът, формата за предварителна заявка и онлайн магазинът. Дали има интерфейси между магазина и системата за управление на стоките, трябва да провери Вашият ИТ изпълнител.
Нашият уебсайт е от конструктор на нашето кооперативно обединение. Кой отговаря?
При пакети за уебсайтове от кооперации, търговци на едро или специализирани доставчици сървърът най-често се управлява от доставчика. Тогава PHP пачът е негова задача. Попитайте писмено за състоянието, защото отговорността за данните на Вашите клиенти остава на Вашата аптека.
Какво е фармацевтичен хак?
Така се наричат атаки, при които на компрометиран уебсайт се внедряват скрити страници или връзки за реклама на лекарства. Посетителите често не виждат нищо от това, а търсачките го виждат. При аптека това е особено деликатно, защото такова съдържание се появява под достоверно име.