Röviden: A gyógyszertár weboldalának biztonságánál egészségügyi adatokról van szó: aki előrendel egy gyógyszert vagy lefényképez egy receptet, az elárul valamit az egészségi állapotáról. Tisztázza, ki üzemelteti a webszerverét, igazoltassa a PHP-javítást és az újraindítást, és figyeljen a rejtett gyógyszerreklámokra, amelyeket a támadók szívesen csempésznek gyógyszertárak oldalaira.
Milyen PHP-rendszereket használnak a gyógyszertárak
Sok gyógyszertárnak van weboldala nyitvatartással, ügyeleti tájékoztatóval és előrendelési űrlappal. Gyakran jön hozzá egy funkció receptfotók vagy gyógyszerezési tervek feltöltésére, valamint házhozszállítási megkeresések és időpontok tanácsadásokra vagy oltásokra. A csomagküldő gyógyszertárak és az online kereskedelmet is folytató gyógyszertárak emellett shopot is üzemeltetnek, például WooCommerce-en vagy Shopware 6-on.
Egyes oldalak szövetségek vagy szakosodott szolgáltatók weboldal-csomagjaiból származnak, másokat egy helyi ügynökség épített. A PHP2Shell szempontjából ezen dől el, ki üzemelteti a szervert, és ezért ki felel a PHP-javításért.
Különösen árulkodók a házhozszállítási megkeresések. Összekötik a lakcímet, a telefonszámot és a gyógyszert, gyakran idősebb vagy gondozásra szoruló emberektől. Aki ilyen adatsorokat elvisz, tudja, ki él egyedül, mely szereket használ rendszeresen, és mikor szállítanak. Ez érdekessé teszi őket azoknak a csalóknak, akik célzottan idősebb embereket szólítanak meg.
Egészségügyi adatok: miért kényes már egy előrendelési űrlap is
A név plusz a gyógyszer egészségügyi adatot ad. Az ilyen adatok a személyes adatok GDPR 9. cikke szerinti különleges kategóriáiba tartoznak. A gyógyszerészekre ezenkívül titoktartási kötelezettség vonatkozik, amelynek megsértése a német Btk. (StGB) 203. §-a (német jogszabály) szerint büntetendő lehet.
A webszerveren az ilyen adatok több helyen vannak: az űrlap-bővítmény adatbázisában, a feltöltött receptfotókban, a levélsorokban és a shopban a rendelési előzményekben. Aki a PHP2Shell révén kódot tud futtatni, általában mindezekhez hozzáfér, anélkül hogy be kellene jelentkeznie.
Gyógyszertár és weboldal-biztonság: mit okoz egy támadás
- Adatszivárgás: az előrendelések és a receptfotók betegségekre következtetni engednek. Az érintettekre nézve a kockázat magas, a GDPR szerinti bejelentési kötelezettség kézenfekvő. A 72 órás határidőt az adatvédelmi felelősével együtt értékelje.
- Gyógyszerspam: a támadók rejtett oldalakat csempésznek be vényköteles szerek reklámjával. A keresőmotorok lefokozzák az oldalt, vagy figyelmeztetést jelenítenek meg, ahogyan azt a Google-figyelmeztetés eltávolítása útmutató leírja.
- Elveszett előrendelések: ha az űrlap kiesik vagy átirányít, az ügyfelek a pult előtt állnak, és a gyógyszer nincs megrendelve.
- Manipulált shop: a rendelési folyamatban módosított kód elviheti a fizetési adatokat, vagy hamis oldalakra küldheti az ügyfeleket.
A shop vagy a CMS frissítése nem zárja le a PHP2Shell-t. A rés csak a PHP 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióval, vagy a szolgáltató által igazolt backporttal, és az összes PHP-folyamat újraindítása után van megszüntetve.
A felelősségi rés a gyógyszertárban
| Terület | Tipikusan felelős | Gyakran tisztázatlan |
|---|---|---|
| Árugazdálkodási rendszer, pénztárak, TI | szoftverház vagy gyógyszertári IT | kapcsolat az online shoppal |
| Weboldal szövetségi csomagból | a csomag szolgáltatója | írásos javítási igazolás |
| Saját weboldal vagy shop | ügynökség és tárhelyszolgáltató | ki frissíti és indítja újra a PHP-t |
A fiókgyógyszertár-hálózatoknál ehhez jön, hogy minden fióknak lehetnek saját űrlapjai vagy domainjei, amelyeket központilag senki sem vezet.
Az előrendelés és a receptfeltöltés adattakarékos kialakítása
Sok gyógyszertári űrlap többet tárol a szükségesnél. Egy előrendeléshez név, elérhetőség és a kívánt készítmény kell, nem születési dátum, lakcím vagy diagnózis. A receptfotók ne tartósan a nyilvánosan elérhető feltöltési mappában legyenek, hanem az átvétel után törlődjenek.
Ellenőrizze továbbá, hová kerülnek az űrlapadatok. Ha minden előrendelés titkosítatlan levélként egy olyan gyűjtő postafiókba érkezik, amelyhez sok munkatárs hozzáfér, a postafiók ugyanolyan védelemre szorul, mint a szerver. És ha egy űrlap-bővítmény minden megkeresést az adatbázisban is eltárol, ott havonta egy olyan egészségügyi adatokat tartalmazó archívum nő, amelyre senkinek sincs szüksége.
Minél kevesebb van a webszerveren, annál kisebb a kár, ha mégis feltörik. A tárolási határidőkről az adatvédelmi felelősével döntsön.
Az első órák a gyógyszertár vezetésének
- Kérdezzen rá írásban a webszerver üzemeltetőjénél a PHP-javítási állapotra és az újraindításra.
- Igazolás nélkül: kapcsolja ki az előrendelési űrlapot és a receptfeltöltést, és álljon át telefonra. Elég egy tájékoztatás a nyitóoldalon.
- Mentesse a naplókat 2026. 10. 20-tól.
- A Google Search Console-ban ellenőrizze, jeleznek-e ismeretlen oldalakat vagy biztonsági problémákat.
- A régi receptfotókat és űrlapbejegyzéseket, amelyekre már nincs szükség, az adatvédelmi felelőssel egyeztetve töröltesse.
Hogyan segít konkrétan a PHP SOS?
- A csomagszolgáltatóval, az ügynökséggel vagy a tárhelyszolgáltatóval tisztázzuk, ki javítja a PHP-t, és beszerezzük a csomagállapotot igazoló visszaigazolást.
- Ellenőrizzük a weboldalt és a shopot webshellek, bejuttatott gyógyszerspam és módosított rendelési kód szempontjából, és eltávolítjuk a talált kártékony szoftvert.
- Megmutatjuk, hol vannak egészségügyi adatok a szerveren, és segítünk korlátozni a tárolási időt és a feltöltéseket.
- A megállapításokat úgy dokumentáljuk, hogy az adatvédelmi felelőse értékelni tudja a bejelentési kötelezettséget.
Gyakori kérdések
Érinti a PHP2Shell a gyógyszertári árugazdálkodási rendszerünket?
A gyógyszertári árugazdálkodási rendszer és a telematikai infrastruktúra elérése általában a weboldaltól elkülönítve működik. A PHP-webszerverek érintettek, vagyis többnyire a weboldal, az előrendelési űrlap és a webshop. Hogy vannak-e interfészek a webshop és az árugazdálkodási rendszer között, azt az IT-szolgáltatójának kell megvizsgálnia.
A weboldalunk a szövetségünk egy moduláris csomagjából származik. Ki a felelős?
A szövetségek, nagykereskedők vagy szakosodott szolgáltatók weboldal-csomagjainál a szervert többnyire a szolgáltató üzemelteti. Ilyenkor a PHP-javítás nála van. Kérdezzen rá írásban az állapotra, mert az ügyfelei adataiért való felelősség a gyógyszertárnál marad.
Mi az a pharma-hack?
Így nevezik azokat a támadásokat, amelyeknél egy feltört weboldalon rejtett oldalakat vagy gyógyszerreklám-linkeket csempésznek be. A látogatók ebből gyakran semmit sem látnak, a keresőmotorok viszont igen. Gyógyszertárnál ez különösen kényes, mert az ilyen tartalmak egy megbízható név alatt jelennek meg.