Kort sagt: När det gäller ett apoteks webbplatssäkerhet handlar det om hälsouppgifter: Den som förbeställer ett läkemedel eller fotograferar ett recept avslöjar något om sin hälsa. Klargör vem som driver er webbserver, låt PHP-patch och omstart bekräftas och håll utkik efter dold läkemedelsreklam som angripare gärna för in på apotekssidor.
Vilka PHP-system apotek använder
Många apotek har en webbplats med öppettider, jourhänvisning och ett formulär för förbeställning. Ofta tillkommer en funktion för att ladda upp receptfoton eller läkemedelslistor, dessutom förfrågningar om hemleverans och tider för rådgivning eller vaccinationer. Apotek med postorder och näthandel driver dessutom en butik, till exempel på WooCommerce eller Shopware 6.
Vissa sidor kommer från webbplatspaket från samarbetsorganisationer eller specialiserade leverantörer, andra har en lokal byrå byggt. För PHP2Shell avgörs det av vem som driver servern och därmed ansvarar för PHP-patchen.
Särskilt avslöjande är förfrågningar om hemleverans. De förenar bostadsadress, telefonnummer och läkemedel, ofta från äldre eller vårdbehövande människor. Den som snappar upp sådana poster vet vem som bor ensam, vilka preparat som regelbundet behövs och när leverans sker. Det gör dem intressanta för bedragare som riktat kontaktar äldre.
Hälsouppgifter: varför redan ett förbeställningsformulär är känsligt
Namn plus läkemedel ger en hälsouppgift. Sådana uppgifter hör till de särskilda kategorierna av personuppgifter enligt art. 9 GDPR. För apotekare gäller dessutom en tystnadsplikt, vars brott enligt § 203 StGB (tyska strafflagen) kan vara straffbart.
På webbservern ligger sådana uppgifter på flera ställen: i formulärpluginets databas, i uppladdade receptfoton, i e-postköer och i butiken med orderhistorik. Den som kan köra kod via PHP2Shell kommer i regel åt allt detta utan att behöva logga in.
Apotek och webbplatssäkerhet: vad ett angrepp ställer till med
- Dataläckage: Förbeställningar och receptfoton ger information om sjukdomar. Risken för de berörda är hög, anmälningsskyldighet enligt GDPR ligger nära till hands. 72-timmarsfristen bedömer ni med ert dataskyddsombud.
- Läkemedelsspam: Angripare för in dolda sidor med reklam för receptbelagda läkemedel. Sökmotorer nedgraderar sidan eller visar en varning, som beskrivs i guiden Ta bort Google-varning.
- Förlorade förbeställningar: Faller formuläret bort eller omdirigerar står kunderna vid disken och läkemedlet är inte beställt.
- Manipulerad butik: Ändrad kod i beställningsflödet kan snappa upp betalningsuppgifter eller skicka kunder till förfalskade sidor.
En uppdatering av butiken eller CMS:et stänger inte PHP2Shell. Sårbarheten är åtgärdad först med PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller en backport bekräftad av leverantören, och först efter omstart av alla PHP-processer.
Ansvarsglappet på apoteket
| Område | Typiskt ansvarig | Ofta oklart |
|---|---|---|
| Affärssystem, kassor, TI | Programvaruhus eller apotekets IT | Förbindelse till webbutiken |
| Webbplats ur samarbetspaket | Paketets leverantör | skriftlig patchbekräftelse |
| Egen webbplats eller butik | Byrå och webbhotell | vem som uppdaterar PHP och startar om |
I filialkedjor tillkommer att varje filial kan ha egna formulär eller domäner som ingen centralt för register över.
Utforma förbeställning och recept-uppladdning med dataminimering
Många apoteksformulär lagrar mer än nödvändigt. En förbeställning behöver namn, kontaktväg och önskat preparat, inte födelsedatum, adress eller diagnos. Receptfoton bör inte ligga permanent i den offentligt nåbara uppladdningsmappen utan raderas efter avhämtningen.
Kontrollera dessutom vart formulärdata går. Hamnar varje förbeställning som okrypterat e-postmeddelande i en gemensam postlåda som många medarbetare når är postlådan lika skyddsvärd som servern. Och om ett formulärplugin dessutom lägger varje förfrågan i databasen växer där för varje månad ett arkiv med hälsouppgifter som ingen behöver.
Ju mindre som ligger på webbservern, desto mindre blir skadan om den ändå komprometteras. Beslut om lagringstider fattar ni med ert dataskyddsombud.
De första timmarna för apotekets ledning
- Fråga den som driver webbservern skriftligen om PHP-patchnivå och omstart.
- Utan bekräftelse: stäng av förbeställningsformuläret och recept-uppladdningen och gå över till telefon. En upplysning på startsidan räcker.
- Låt säkra loggar från och med den 20 oktober 2026.
- Kontrollera i Google Search Console om okända sidor eller säkerhetsproblem rapporteras.
- Låt radera gamla receptfoton och formulärposter som inte längre behövs efter samråd med dataskyddsombudet.
Hur hjälper PHP SOS konkret?
- Vi klarlägger med paketleverantör, byrå eller webbhotell vem som patchar PHP och inhämtar bekräftelsen med paketstatus.
- Vi kontrollerar webbplats och butik efter webshells, insmugglad läkemedelsspam och ändrad beställningskod och tar bort funnen skadlig programvara.
- Vi visar var hälsouppgifter ligger på servern och hjälper till att begränsa lagringstid och uppladdningar.
- Vi dokumenterar fynd så att ert dataskyddsombud kan bedöma anmälningsskyldigheten.
Vanliga frågor
Berörs vårt lagerhanteringssystem av PHP2Shell?
Apotekets affärssystem och åtkomsten till telematikinfrastrukturen körs i regel åtskilda från webbplatsen. Berörda är PHP-webbservrar, alltså oftast webbplats, förbeställningsformulär och webbutik. Om det finns gränssnitt mellan butiken och affärssystemet bör er IT-leverantör kontrollera.
Vår webbplats kommer från ett byggpaket i vårt samarbete. Vem ansvarar?
Vid webbplatspaket från samarbetsorganisationer, grossister eller specialiserade leverantörer driver oftast leverantören servern. Då ligger PHP-patchen hos denne. Fråga skriftligen om läget, för ansvaret för era kunders uppgifter ligger kvar hos ert apotek.
Vad är en läkemedelshackning (Pharma-Hack)?
Så kallas angrepp där dolda sidor eller länkar för läkemedelsreklam förs in på en komprometterad webbplats. Besökare ser ofta ingenting av det, sökmotorer däremot. För ett apotek är det särskilt känsligt, eftersom sådant innehåll visas under ett förtroendeingivande namn.