# Bezpieczeństwo strony apteki: rezerwacja, sklep i dane zdrowotne

> Rezerwacja leków, zdjęcie recepty, sklep wysyłkowy: jak apteki zabezpieczają stronę przed PHP2Shell i chronią dane zdrowotne klientów.

Źródło: https://phpsos.de/pl/branchen/apotheken/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** W bezpieczeństwie strony apteki chodzi o dane zdrowotne: kto rezerwuje lek lub fotografuje receptę, zdradza coś o swoim zdrowiu. Proszę ustalić, kto prowadzi Państwa serwer WWW, kazać potwierdzić poprawkę PHP i restart oraz zwracać uwagę na ukrytą reklamę leków, którą atakujący chętnie wprowadzają na strony aptek.

## Jakich systemów PHP używają apteki

Wiele aptek ma stronę z godzinami otwarcia, informacją o dyżurach i formularzem rezerwacji. Często dochodzi funkcja przesyłania zdjęć recept lub planów leczenia, do tego zapytania o dostawę do domu oraz terminy konsultacji lub szczepień. Apteki wysyłkowe i apteki ze sprzedażą internetową prowadzą dodatkowo sklep, na przykład na [WooCommerce](https://phpsos.de/pl/plattformen/woocommerce/) lub [Shopware 6](https://phpsos.de/pl/plattformen/shopware-6/).

Niektóre strony pochodzą z pakietów stron od kooperacji lub wyspecjalizowanych dostawców, inne zbudowała miejscowa agencja. Dla PHP2Shell rozstrzyga to, kto prowadzi serwer i tym samym odpowiada za poprawkę PHP.

Szczególnie wymowne są zapytania o dostawę do domu. Łączą adres zamieszkania, numer telefonu i lek, często od osób starszych lub wymagających opieki. Kto przechwytuje takie rekordy, wie, kto mieszka sam, jakich środków regularnie potrzebuje i kiedy następuje dostawa. To czyni je interesującymi dla oszustów, którzy celowo zagadują osoby starsze.

## Dane zdrowotne: dlaczego już formularz rezerwacji jest wrażliwy

Imię i nazwisko plus lek dają daną zdrowotną. Takie informacje należą do szczególnych kategorii danych osobowych według art. 9 RODO. Dla farmaceutów obowiązuje ponadto tajemnica zawodowa, której naruszenie może być w Niemczech karalne na podstawie § 203 StGB (niemiecki kodeks karny).

Na serwerze WWW takie dane znajdują się w kilku miejscach: w bazie danych wtyczki formularza, w przesłanych zdjęciach recept, w kolejkach poczty i w sklepie z historiami zamówień. Kto przez PHP2Shell może wykonywać kod, dociera zwykle do tego wszystkiego bez konieczności logowania.

## Apteka i bezpieczeństwo strony: co powoduje atak

- **Wyciek danych:** Rezerwacje i zdjęcia recept pozwalają wnioskować o chorobach. Ryzyko dla osób, których dane dotyczą, jest wysokie, obowiązki zgłoszeniowe z RODO są prawdopodobne. [Termin 72 godzin](https://phpsos.de/pl/compliance/dsgvo-meldepflicht-72-stunden/) oceniają Państwo z inspektorem ochrony danych.
- **Spam farmaceutyczny:** Atakujący wprowadzają ukryte podstrony z reklamą środków na receptę. Wyszukiwarki obniżają ocenę strony lub pokazują ostrzeżenie, jak opisano w poradniku [Usuwanie ostrzeżenia Google](https://phpsos.de/pl/ratgeber/google-warnung-entfernen/).
- **Utracone rezerwacje:** Jeśli formularz przestaje działać lub przekierowuje, klienci stoją przy ladzie, a leku nie zamówiono.
- **Zmanipulowany sklep:** Zmieniony kod w procesie zamówienia może przechwytywać dane płatnicze lub kierować klientów na sfałszowane strony.

> **Ważne:**
> Aktualizacja sklepu lub CMS nie zamyka PHP2Shell. Luka jest usunięta dopiero w PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo przy backporcie potwierdzonym przez dostawcę, i dopiero po restarcie wszystkich procesów PHP.

## Luka w odpowiedzialności w aptece

| Obszar | Zwykle odpowiada | Często niewyjaśnione |
|---|---|---|
| System magazynowo-sprzedażowy, kasy, infrastruktura telematyczna (TI) | Dom softwarowy lub IT apteki | Połączenie ze sklepem internetowym |
| Strona z pakietu kooperacji | Dostawca pakietu | pisemne potwierdzenie poprawki |
| Własna strona lub sklep | Agencja i firma hostingowa | kto aktualizuje PHP i restartuje |

W sieciach filii dochodzi to, że każda filia może mieć własne formularze lub domeny, których nikt centralnie nie prowadzi.

## Rezerwacja i przesyłanie recept: projektować z oszczędnością danych

Wiele formularzy aptek zapisuje więcej, niż trzeba. Rezerwacja potrzebuje imienia i nazwiska, danych kontaktowych i żądanego preparatu, a nie daty urodzenia, adresu ani diagnozy. Zdjęcia recept nie powinny leżeć trwale w publicznie dostępnym katalogu przesyłanych plików, lecz być usuwane po odbiorze.

Proszę sprawdzić także, dokąd trafiają dane z formularzy. Jeśli każda rezerwacja ląduje jako niezaszyfrowany e-mail we wspólnej skrzynce, do której ma dostęp wielu pracowników, skrzynka wymaga takiej samej ochrony jak serwer. A jeśli wtyczka formularza zapisuje dodatkowo każde zapytanie w bazie danych, rośnie tam z miesiąca na miesiąc archiwum danych zdrowotnych, którego nikt nie potrzebuje.

Im mniej leży na serwerze WWW, tym mniejsza szkoda, jeśli zostanie jednak skompromitowany. Decyzję o terminach przechowywania podejmują Państwo z inspektorem ochrony danych.

## Pierwsze godziny dla kierownictwa apteki

1. Zapytać operatora serwera WWW na piśmie o stan poprawek PHP i restart.
2. Bez potwierdzenia: wyłączyć formularz rezerwacji i przesyłanie recept i przestawić się na telefon. Wystarczy komunikat na stronie głównej.
3. Kazać zabezpieczyć logi od 20.10.2026.
4. Sprawdzić w Google Search Console, czy zgłaszane są nieznane strony lub problemy z bezpieczeństwem.
5. Stare zdjęcia recept i wpisy z formularzy, które nie są już potrzebne, kazać usunąć po uzgodnieniu z inspektorem ochrony danych.

## Jak PHP SOS pomaga w praktyce?

- Ustalamy z dostawcą pakietu, agencją lub firmą hostingową, kto łata PHP, i uzyskujemy potwierdzenie ze stanem pakietu.
- Sprawdzamy stronę i sklep pod kątem webshelli, wprowadzonego spamu farmaceutycznego i zmienionego kodu zamówień oraz [usuwamy znalezione złośliwe oprogramowanie](https://phpsos.de/pl/leistungen/malware-entfernung/).
- Pokazujemy, gdzie na serwerze znajdują się dane zdrowotne, i pomagamy ograniczyć czas przechowywania oraz przesyłane pliki.
- Dokumentujemy ustalenia tak, aby Państwa inspektor ochrony danych mógł ocenić obowiązek zgłoszenia.


## Częste pytania

**Czy nasz system magazynowo-sprzedażowy jest dotknięty przez PHP2Shell?**  
System magazynowo-sprzedażowy apteki i dostęp do infrastruktury telematycznej działają zwykle oddzielnie od strony internetowej. Dotknięte są serwery WWW z PHP, czyli najczęściej strona, formularz rezerwacji i sklep internetowy. To, czy istnieją interfejsy między sklepem a systemem magazynowym, powinien sprawdzić Państwa dostawca usług IT.

**Nasza strona pochodzi z kreatora naszej kooperacji. Kto odpowiada?**  
W przypadku pakietów stron od kooperacji, hurtowni lub wyspecjalizowanych dostawców serwer prowadzi zwykle dostawca. Wtedy poprawka PHP leży po jego stronie. Proszę zapytać na piśmie o stan, ponieważ odpowiedzialność za dane Państwa klientów pozostaje przy Państwa aptece.

**Czym jest pharma hack?**  
Tak nazywa się ataki, w których na skompromitowaną stronę wprowadza się ukryte podstrony lub linki z reklamą leków. Odwiedzający często niczego nie widzą, wyszukiwarki natomiast tak. W przypadku apteki jest to szczególnie delikatne, ponieważ takie treści pojawiają się pod zaufaną nazwą.

## Źródła

- [php.net: komunikaty bezpieczeństwa](https://www.php.net/)
- [BSI: ostrzeżenia i zalecenia](https://www.bsi.bund.de/)
- [Pomoc Google Search Console](https://support.google.com/webmasters/)
- [Art. 33 RODO: zgłoszenie do organu nadzorczego](https://dsgvo-gesetz.de/art-33-dsgvo/)