Lühidalt: Apteegi veebisaidi turvalisuses on mängus terviseandmed: kes ravimit eeltellib või retsepti pildistab, annab teada midagi oma tervise kohta. Selgitage välja, kes teie veebiserverit haldab, laske PHP paik ja taaskäivitus kinnitada ning jälgige peidetud ravimireklaami, mida ründajad meelsasti apteekide lehtedele sisse toovad.
Milliseid PHP süsteeme apteegid kasutavad
Paljudel apteekidel on veebisait lahtiolekuaegade, valveapteegi märkuse ja eeltellimuse vormiga. Sageli lisandub funktsioon retseptifotode või ravimiplaanide üleslaadimiseks, lisaks päringud kulleriteenuse ja nõustamis- või vaktsineerimisaegade jaoks. Postiapteegid ja veebimüügiga apteegid haldavad lisaks poodi, näiteks WooCommerce'i või Shopware 6 peal.
Mõned lehed pärinevad koostöövõrgustike või spetsialiseerunud pakkujate veebisaidi pakettidest, teised on ehitanud kohalik agentuur. PHP2Shelli puhul sõltub just sellest, kes serverit haldab ja seega PHP paiga eest vastutab.
Eriti öeldavad on kulleriteenuse päringud. Need ühendavad elukoha aadressi, telefoninumbri ja ravimi, sageli vanemate või hooldust vajavate inimeste omad. Kes sellised kirjed ära viib, teab, kes elab üksi, milliseid vahendeid korrapäraselt vajatakse ja millal tarnitakse. See teeb need huvitavaks petturitele, kes pöörduvad sihipäraselt eakate inimeste poole.
Terviseandmed: miks juba eeltellimusvorm on tundlik
Nimi pluss ravim annab terviseandmed. Sellised andmed kuuluvad IKÜM art 9 järgi isikuandmete eriliikide hulka. Apteekritele kehtib lisaks vaikimiskohustus, mille rikkumine võib olla karistatav § 203 StGB (Saksa karistusseadustik) järgi.
Veebiserveris asuvad sellised andmed mitmes kohas: vormiplugina andmebaasis, üleslaaditud retseptifotodes, meilijärjekordades ja poes tellimuste ajalooga. Kes PHP2Shelli kaudu koodi käivitab, pääseb üldjuhul kõigele sellele ligi ilma sisselogimata.
Apteek ja veebisaidi turvalisus: mida rünne kaasa toob
- Andmeleke: Eeltellimused ja retseptifotod võimaldavad teha järeldusi haiguste kohta. Risk puudutatutele on suur, IKÜM-i teavitamiskohustused on lähedal. 72-tunnise tähtaja hindate koos oma andmekaitsespetsialistiga.
- Farmaatsia-rämps: Ründajad toovad sisse peidetud lehti retseptiravimite reklaamiga. Otsingumootorid langetavad lehe positsiooni või näitavad hoiatust, nagu on kirjeldatud juhendis Google'i hoiatuse eemaldamine.
- Kaotsi läinud eeltellimused: Kui vorm kukub välja või suunab ümber, seisavad kliendid letis ja ravimit pole tellitud.
- Manipuleeritud pood: Tellimisprotsessi muudetud kood võib makseandmeid ära viia või kliente võltslehtedele suunata.
Poe või CMS-i uuendus PHP2Shelli ei sulge. Turvaauk on parandatud alles versioonidega PHP 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või pakkuja kinnitatud backportiga ja alles pärast kõigi PHP protsesside taaskäivitust.
Vastutuslünk apteegis
| Valdkond | Tüüpiliselt vastutab | Sageli selgitamata |
|---|---|---|
| Kaubahaldus, kassad, TI | Tarkvaramaja või apteegi IT | Ühendus e-poega |
| Veebisait koostöövõrgustiku paketist | Paketi pakkuja | kirjalik paika kinnitus |
| Oma veebisait või pood | Agentuur ja veebimajutaja | kes PHP-d uuendab ja uuesti käivitab |
Apteegiketides lisandub, et igal filiaalil võivad olla oma vormid või domeenid, mida keegi tsentraalselt ei halda.
Eeltellimus ja retsepti üleslaadimine andmesäästlikult
Paljud apteegivormid salvestavad rohkem kui vaja. Eeltellimus vajab nime, kättesaadavust ja soovitud preparaati, mitte sünniaega, aadressi ega diagnoosi. Retseptifotod ei peaks püsivalt asuma avalikult ligipääsetavas üleslaadimiskaustas, vaid tuleks pärast väljaandmist kustutada.
Kontrollige lisaks, kuhu vormiandmed lähevad. Kui iga eeltellimus jõuab krüpteerimata kirjana ühispostkasti, millele pääsevad ligi paljud töötajad, on postkast sama kaitsmist vajav kui server. Ja kui vormiplugin salvestab iga päringu lisaks andmebaasi, kasvab seal iga kuuga terviseandmete arhiiv, mida keegi ei vaja.
Mida vähem veebiserveris asub, seda väiksem on kahju, kui see siiski kompromiteeritakse. Säilitustähtaegade üle otsustate koos oma andmekaitsespetsialistiga.
Esimesed tunnid apteegijuhile
- Küsige veebiserveri haldajalt kirjalikult PHP paigatud seisu ja taaskäivituse kohta.
- Ilma kinnituseta: lülitage eeltellimusvorm ja retsepti üleslaadimine välja ning minge üle telefonile. Märkus avalehel piisab.
- Laske logid alates 20.10.2026 kindlustada.
- Kontrollige Google Search Console'is, kas teatatakse tundmatutest lehtedest või turvaprobleemidest.
- Laske vanad retseptifotod ja vormisisestused, mida enam ei vajata, pärast kooskõlastamist andmekaitsespetsialistiga kustutada.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame koos paketi pakkuja, agentuuri või veebimajutajaga välja, kes PHP-d paikab, ja hangime kinnituse koos paketi seisuga.
- Kontrollime veebisaiti ja poodi veebishellide, sissetoodud farmaatsia-rämpsu ja muudetud tellimiskoodi suhtes ning eemaldame leitud pahavara.
- Näitame, kus serveris terviseandmed asuvad, ja aitame säilitusaega ning üleslaadimisi piirata.
- Dokumenteerime tulemused nii, et teie andmekaitsespetsialist saab teavitamiskohustust hinnata.
Korduma kippuvad küsimused
Kas meie kaubahaldus on PHP2Shellist mõjutatud?
Apteegi kaubahaldus ja ühendus telemaatikataristuga töötavad üldjuhul veebisaidist eraldi. Mõjutatud on PHP veebiserverid, see tähendab enamasti veebisait, eeltellimusvorm ja e-pood. Kas poe ja kaubahalduse vahel on liideseid, peaks kontrollima teie IT-teenusepakkuja.
Meie veebisait pärineb meie koostöövõrgustiku ehituskomplektist. Kes vastutab?
Koostöövõrgustike, hulgimüüjate või spetsialiseerunud pakkujate veebisaidi pakettide puhul haldab serverit enamasti pakkuja. Siis on PHP paik tema käes. Küsige kirjalikult seisu kohta, sest teie klientide andmete eest jääb vastutus teie apteegile.
Mis on farmaatsia-häkk?
Nii nimetatakse rünnakuid, kus kompromiteeritud veebisaidile viiakse sisse peidetud lehti või linke ravimireklaami jaoks. Külastajad ei näe sellest sageli midagi, otsingumootorid aga küll. Apteegi puhul on see eriti ohtlik, sest selline sisu ilmub usaldusväärse nime all.