Εν συντομία: Στην ασφάλεια του ιστότοπου ενός φαρμακείου το ζήτημα είναι τα δεδομένα υγείας: όποιος κάνει προπαραγγελία ενός φαρμάκου ή φωτογραφίζει μια συνταγή, αποκαλύπτει κάτι για την υγεία του. Διευκρινίστε ποιος λειτουργεί τον διακομιστή ιστού σας, ζητήστε επιβεβαίωση του patch της PHP και της επανεκκίνησης και προσέξτε για κρυφές διαφημίσεις φαρμάκων, που οι επιτιθέμενοι εισάγουν ευχαρίστως σε ιστοτόπους φαρμακείων.
Ποια συστήματα PHP χρησιμοποιούν τα φαρμακεία
Πολλά φαρμακεία έχουν έναν ιστότοπο με ώρες λειτουργίας, υπόδειξη εφημερίας και μια φόρμα προπαραγγελίας. Συχνά προστίθεται μια λειτουργία μεταφόρτωσης φωτογραφιών συνταγών ή πλάνων φαρμακευτικής αγωγής, καθώς και αιτήματα για την υπηρεσία διανομής και ραντεβού για συμβουλευτική ή εμβολιασμούς. Τα φαρμακεία αποστολής και τα φαρμακεία με ηλεκτρονικό εμπόριο λειτουργούν επιπλέον ένα shop, για παράδειγμα σε WooCommerce ή Shopware 6.
Ορισμένοι ιστότοποι προέρχονται από πακέτα ιστοτόπων κοινοπραξιών ή εξειδικευμένων παρόχων, άλλους τους έχει κατασκευάσει ένα τοπικό πρακτορείο. Για το PHP2Shell από αυτό εξαρτάται ποιος λειτουργεί τον διακομιστή και είναι επομένως αρμόδιος για το patch της PHP.
Ιδιαίτερα αποκαλυπτικά είναι τα αιτήματα της υπηρεσίας διανομής. Συνδέουν διεύθυνση κατοικίας, αριθμό τηλεφώνου και φάρμακο, συχνά από ηλικιωμένους ή άτομα που χρειάζονται φροντίδα. Όποιος υποκλέπτει τέτοιες εγγραφές, γνωρίζει ποιος ζει μόνος, ποια φάρμακα χρειάζονται τακτικά και πότε γίνεται η παράδοση. Αυτό τις καθιστά ενδιαφέρουσες για απατεώνες που στοχεύουν ηλικιωμένους.
Δεδομένα υγείας: γιατί ήδη μια φόρμα προπαραγγελίας είναι ευαίσθητη
Όνομα συν φάρμακο αποτελεί δεδομένο υγείας. Τέτοια στοιχεία ανήκουν στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα βάσει του άρθρου 9 ΓΚΠΔ. Για τους φαρμακοποιούς ισχύει επιπλέον υποχρέωση εχεμύθειας, η παραβίαση της οποίας μπορεί να είναι αξιόποινη βάσει του § 203 StGB (γερμανικός ποινικός κώδικας).
Στον διακομιστή ιστού τέτοια δεδομένα βρίσκονται σε πολλά σημεία: στη βάση δεδομένων του plugin φορμών, σε φωτογραφίες συνταγών που ανέβηκαν, σε ουρές αλληλογραφίας και στο shop με ιστορικά παραγγελιών. Όποιος μπορεί να εκτελέσει κώδικα μέσω του PHP2Shell, φτάνει κατά κανόνα σε όλα αυτά, χωρίς να χρειάζεται να συνδεθεί.
Φαρμακείο και ασφάλεια ιστότοπου: τι προκαλεί μια επίθεση
- Διαρροή δεδομένων: Οι προπαραγγελίες και οι φωτογραφίες συνταγών επιτρέπουν συμπεράσματα για παθήσεις. Ο κίνδυνος για τους θιγόμενους είναι υψηλός, οι υποχρεώσεις γνωστοποίησης βάσει ΓΚΠΔ είναι πιθανές. Την προθεσμία 72 ωρών την αξιολογείτε με τον υπεύθυνο προστασίας δεδομένων σας.
- Pharma spam: Οι επιτιθέμενοι εισάγουν κρυφές σελίδες με διαφήμιση φαρμάκων που απαιτούν συνταγή. Οι μηχανές αναζήτησης υποβαθμίζουν τη σελίδα ή εμφανίζουν προειδοποίηση, όπως περιγράφεται στον οδηγό Αφαίρεση προειδοποίησης Google.
- Χαμένες προπαραγγελίες: Αν η φόρμα πέσει ή ανακατευθύνει, οι πελάτες βρίσκονται μπροστά στον πάγκο και το φάρμακο δεν έχει παραγγελθεί.
- Παραποιημένο shop: Αλλαγμένος κώδικας στη διαδικασία παραγγελίας μπορεί να υποκλέψει δεδομένα πληρωμής ή να στείλει πελάτες σε πλαστές σελίδες.
Μια ενημέρωση του shop ή του CMS δεν κλείνει το PHP2Shell. Η ευπάθεια διορθώνεται μόνο με PHP 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 ή με backport που επιβεβαιώνει ο πάροχος, και μόνο μετά την επανεκκίνηση όλων των διεργασιών PHP.
Το κενό αρμοδιότητας στο φαρμακείο
| Τομέας | Τυπικά αρμόδιος | Συχνά ασαφές |
|---|---|---|
| Διαχείριση αποθήκης, ταμειακές, TI | Οίκος λογισμικού ή πληροφορική φαρμακείου | Σύνδεση με το ηλεκτρονικό κατάστημα |
| Ιστότοπος από πακέτο κοινοπραξίας | Πάροχος του πακέτου | γραπτή επιβεβαίωση του patch |
| Δικός ιστότοπος ή shop | Πρακτορείο και πάροχος φιλοξενίας | ποιος ενημερώνει και επανεκκινεί την PHP |
Στους ομίλους υποκαταστημάτων προστίθεται ότι κάθε υποκατάστημα μπορεί να έχει δικές του φόρμες ή domains, που κανείς δεν τηρεί κεντρικά.
Διαμορφώστε την προπαραγγελία και το upload συνταγής με οικονομία δεδομένων
Πολλές φόρμες φαρμακείων αποθηκεύουν περισσότερα από όσα χρειάζονται. Μια προπαραγγελία χρειάζεται όνομα, τρόπο επικοινωνίας και το επιθυμητό σκεύασμα, όχι ημερομηνία γέννησης, διεύθυνση ή διάγνωση. Οι φωτογραφίες συνταγών δεν πρέπει να παραμένουν μόνιμα στον δημόσια προσβάσιμο φάκελο uploads, αλλά να διαγράφονται μετά την παραλαβή.
Ελέγξτε επιπλέον πού πηγαίνουν τα δεδομένα των φορμών. Αν κάθε προπαραγγελία καταλήγει ως μη κρυπτογραφημένο email σε ένα κοινό γραμματοκιβώτιο στο οποίο έχουν πρόσβαση πολλοί εργαζόμενοι, το γραμματοκιβώτιο χρειάζεται την ίδια προστασία με τον διακομιστή. Και αν ένα plugin φορμών αποθηκεύει επιπλέον κάθε αίτημα στη βάση δεδομένων, εκεί μεγαλώνει με κάθε μήνα ένα αρχείο δεδομένων υγείας που κανείς δεν χρειάζεται.
Όσο λιγότερα βρίσκονται στον διακομιστή ιστού, τόσο μικρότερη είναι η ζημιά αν παρ' όλα αυτά παραβιαστεί. Την απόφαση για τις προθεσμίες αποθήκευσης την παίρνετε με τον υπεύθυνο προστασίας δεδομένων σας.
Οι πρώτες ώρες για τη διεύθυνση του φαρμακείου
- Ρωτήστε γραπτώς τον φορέα λειτουργίας του διακομιστή ιστού για το επίπεδο patch της PHP και την επανεκκίνηση.
- Χωρίς επιβεβαίωση: απενεργοποιήστε τη φόρμα προπαραγγελίας και το upload συνταγής και μεταβείτε στο τηλέφωνο. Αρκεί μια υπόδειξη στην αρχική σελίδα.
- Ζητήστε να διασωθούν τα logs από τις 20/10/2026.
- Ελέγξτε στο Google Search Console αν αναφέρονται άγνωστες σελίδες ή προβλήματα ασφαλείας.
- Ζητήστε, σε συνεννόηση με τον υπεύθυνο προστασίας δεδομένων, να διαγραφούν παλιές φωτογραφίες συνταγών και καταχωρίσεις φορμών που δεν χρειάζονται πια.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρινίζουμε με τον πάροχο του πακέτου, το πρακτορείο ή τον πάροχο φιλοξενίας ποιος εφαρμόζει patch στην PHP και αποκτούμε την επιβεβαίωση με το επίπεδο του πακέτου.
- Ελέγχουμε τον ιστότοπο και το shop για webshells, εισαγόμενο pharma spam και αλλαγμένο κώδικα παραγγελιών και αφαιρούμε το κακόβουλο λογισμικό που θα βρεθεί.
- Δείχνουμε πού βρίσκονται δεδομένα υγείας στον διακομιστή και βοηθούμε να περιοριστούν η διάρκεια αποθήκευσης και τα uploads.
- Τεκμηριώνουμε τα ευρήματα με τρόπο ώστε ο υπεύθυνος προστασίας δεδομένων σας να μπορεί να αξιολογήσει την υποχρέωση γνωστοποίησης.
Συχνές ερωτήσεις
Επηρεάζεται το σύστημα διαχείρισης αποθήκης του φαρμακείου μας από το PHP2Shell;
Το σύστημα διαχείρισης αποθήκης του φαρμακείου και η πρόσβαση στην υποδομή τηλεματικής (Telematikinfrastruktur) του γερμανικού συστήματος υγείας λειτουργούν κατά κανόνα χωριστά από τον ιστότοπο. Επηρεάζονται οι διακομιστές ιστού PHP, δηλαδή συνήθως ο ιστότοπος, η φόρμα προπαραγγελίας και το ηλεκτρονικό κατάστημα. Το αν υπάρχουν διεπαφές ανάμεσα στο shop και τη διαχείριση αποθήκης πρέπει να το ελέγξει ο πάροχος πληροφορικής σας.
Ο ιστότοπός μας προέρχεται από ένα πακέτο της κοινοπραξίας μας. Ποιος είναι αρμόδιος;
Στα πακέτα ιστοτόπων από κοινοπραξίες, χονδρεμπόρους ή εξειδικευμένους παρόχους, τον διακομιστή λειτουργεί συνήθως ο πάροχος. Τότε το patch της PHP βρίσκεται σε αυτόν. Ρωτήστε γραπτώς για την κατάσταση, επειδή η ευθύνη για τα δεδομένα των πελατών σας παραμένει στο φαρμακείο σας.
Τι είναι ένα pharma hack;
Έτσι ονομάζονται οι επιθέσεις όπου σε έναν παραβιασμένο ιστότοπο εισάγονται κρυφές σελίδες ή σύνδεσμοι για διαφήμιση φαρμάκων. Οι επισκέπτες συχνά δεν βλέπουν τίποτα, οι μηχανές αναζήτησης όμως ναι. Σε ένα φαρμακείο αυτό είναι ιδιαίτερα ευαίσθητο, επειδή τέτοιο περιεχόμενο εμφανίζεται κάτω από ένα αξιόπιστο όνομα.