Pe scurt: La site-ul unui cabinet medical este vorba despre securitatea datelor de sănătate, nu doar despre o carte de vizită online. Verificați care formulare salvează date sau le trimit prin e-mail, cereți confirmarea scrisă a versiunii PHP de pe server și, la suspiciune, salvați imediat logurile.
Ce sisteme PHP rulează în cabinete și MVZ
Majoritatea site-urilor de cabinete se bazează pe un CMS PHP, adesea WordPress, mai rar TYPO3 sau Joomla. Lucrurile devin interesante la funcțiile suplimentare: formulare pentru cereri de rețete și de trimiteri, chestionare de anamneză de descărcat sau de încărcat, înscrieri la recall, anunțuri de angajare cu încărcare de candidaturi și programare online.
Programarea este adesea un serviciu extern care este doar încorporat. Atunci datele despre programări se află la furnizor. Unele cabinete folosesc însă pluginuri de rezervare care salvează programările împreună cu motivul în baza de date a propriului site. Tocmai această diferență ar trebui s-o cunoașteți înainte de a evalua riscul.
Date de sănătate: de ce site-ul este mai sensibil decât pare
O frază ca „Am nevoie din nou de medicamentul pentru tensiune” în formularul de contact este o dată de sănătate. Astfel de informații fac parte din categoriile speciale de date cu caracter personal conform art. 9 RGPD. Pentru medici se aplică în plus obligația de confidențialitate, a cărei încălcare poate fi pedepsită penal conform § 203 StGB (Codul penal german).
Pentru site, asta înseamnă: intrările din formulare rămase în baza de date, copiile din pluginurile de formulare, logurile de e-mail de pe server și documentele încărcate sunt la îndemâna atacatorului. Cine execută cod pe server le citește, de regulă, și pe acestea.
Puneți să se verifice dacă pluginul dumneavoastră de formulare salvează intrările suplimentar în baza de date. Multe o fac implicit. Ce nu este salvat nu poate nici să se scurgă.
Ce înseamnă pentru cabinet o întrerupere sau o scurgere de date
Dacă site-ul cade, pacientele și pacienții sună, iar telefonul cabinetului este oricum suprasolicitat. Este neplăcut, dar gestionabil. Mai grav este un atac nedetectat: redirecționări către pagini frauduloase sub numele cabinetului, formulare false sau cereri interceptate cu referire la boli.
Un astfel de incident poate declanșa obligații de notificare față de autoritatea de supraveghere a protecției datelor și, în funcție de risc, și informarea persoanelor vizate. Termenul de 72 de ore al RGPD începe de îndată ce aveți cunoștință de încălcare. Clarificați evaluarea cu responsabilul dumneavoastră cu protecția datelor.
Site-ul cabinetului și securitatea: lacuna tipică de responsabilitate
În cabinete există de obicei trei părți implicate, fiecare considerându-se responsabilă pentru o parte:
| Parte implicată | De ce se ocupă de regulă | Adesea nu are în vedere |
|---|---|---|
| Furnizorul de IT al cabinetului | Sistemul de gestiune, rețeaua, conectorul, posturile de lucru | Serverul site-ului de la furnizorul de hosting |
| Agenția web | Design, conținut, pluginuri | Versiunea PHP și repornirea serverului |
| Furnizorul de hosting | Operarea serverului | Datele din formulare și pluginurile cabinetului |
La PHP2Shell, vulnerabilitatea se află exact între aceste roluri: în PHP pe serverul web. La hostingul partajat, de regulă este responsabil furnizorul de hosting, dar confirmarea versiunii pachetului trebuie s-o solicitați chiar dumneavoastră. În MVZ cu mai multe locații se adaugă adesea entitatea care deține unitatea și care stabilește cerințe proprii.
Există o punte între site și rețeaua cabinetului?
De regulă, site-ul cabinetului rulează la furnizorul de hosting și nu are legătură directă cu sistemul de gestiune al cabinetului. Există însă excepții pe care ar trebui să le cunoașteți: formulare care transferă automat date în sistemul de gestiune, un server de site în propriul centru de date al MVZ sau date de acces folosite simultan pentru site, conturi de e-mail și mentenanță la distanță.
În astfel de cazuri, un server web compromis nu este doar o problemă a site-ului. Puneți furnizorul de IT al cabinetului și responsabilul cu site-ul să verifice împreună ce legături există și ce parole sunt folosite de mai multe ori. Pentru IT-ul cabinetului se aplică, în plus, cerințele Asociației Federale a Medicilor cu Drept de Decontare (Kassenärztliche Bundesvereinigung) privind securitatea IT. Cât de mult privesc ele site-ul, clarificați cu responsabilul dumneavoastră cu protecția datelor.
Primele ore după un avertisment
- Întrebați furnizorul de hosting dacă PHP este la versiunea 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 ori dacă a fost aplicat un backport și dacă toate procesele PHP au fost repornite.
- Dacă acest lucru nu este confirmat: opriți temporar site-ul sau înlocuiți-l cu o pagină statică de informare cu programul telefonic, așa cum recomandă BSI pentru serverele care nu pot fi actualizate.
- Salvați logurile serverului și de acces începând cu 20.10.2026.
- Fiți atenți la semnele unei compromiteri: fișiere necunoscute, conturi noi de administrator, redirecționări modificate.
- Implicați din timp responsabilul cu protecția datelor, nu abia după curățare.
Cum ajută PHP SOS concret?
- Clarificăm cu furnizorul de hosting și cu agenția cine aplică patchul PHP și repornește, și obținem confirmarea cu versiunea pachetului.
- Verificăm unde se află pe serverul web datele din formulare, încărcările și copiile de e-mail și dacă există legături către rețeaua cabinetului.
- La suspiciune, salvăm urmele, căutăm webshell-uri și curățăm serverul în cadrul asistenței noastre de urgență pentru site-uri hackuite.
- Documentăm incidentul astfel încât responsabilul dumneavoastră cu protecția datelor să poată evalua obligația de notificare.
- Ulterior reducem datele stocate și securizăm serverul, pentru ca data viitoare să fie în joc mai puțin.
Întrebări frecvente
Este afectat software-ul cabinetului meu de PHP2Shell?
Sistemul de gestiune al cabinetului și accesul la infrastructura de telematică rulează, de regulă, separat de site. Sunt afectate serverele web PHP, adică de obicei site-ul cabinetului și formularele sau portalurile conectate la acesta. Dacă există legături între site și rețeaua cabinetului, ar trebui să verifice furnizorul dumneavoastră de servicii IT.
Sunt datele din formularul de contact date de sănătate?
Adesea da. Chiar și rugămintea pentru o rețetă repetată sau o dorință de programare din cauza unor anumite simptome permite deducții despre starea de sănătate. Astfel de date fac parte din categoriile speciale conform art. 9 RGPD. Încadrarea exactă o clarificați cu responsabilul dumneavoastră cu protecția datelor.
Trebuie să îmi informez pacienții dacă site-ul a fost hackuit?
Depinde dacă sunt afectate date cu caracter personal și cât de mare este riscul pentru pacienți. În cazul datelor de sănătate, riscul este adesea ridicat. Decizia o luați împreună cu responsabilul cu protecția datelor și, la nevoie, cu consultanță juridică.
Cine răspunde de actualizările PHP la site-ul cabinetului?
Asta rezultă din contractul de hosting sau de mentenanță. La hostingul partajat și la cel administrat (managed), de obicei patchul îl aplică furnizorul de hosting, iar la un server propriu, prestatorul însărcinat. Dacă lipsește o reglementare clară, ar trebui să o consemnați în scris acum.