Trumpai: Vaistinės svetainės saugume kalbama apie sveikatos duomenis: kas iš anksto užsako vaistą ar nufotografuoja receptą, atskleidžia ką nors apie savo sveikatą. Išsiaiškinkite, kas eksploatuoja jūsų žiniatinklio serverį, paprašykite patvirtinti PHP pataisą ir paleidimą iš naujo ir atkreipkite dėmesį į paslėptą vaistų reklamą, kurią užpuolikai mielai įterpia į vaistinių puslapius.
Kokias PHP sistemas naudoja vaistinės
Daugelis vaistinių turi svetainę su darbo laiku, budėjimo nuoroda ir išankstinio užsakymo forma. Dažnai prisideda funkcija receptų nuotraukoms ar vaistų vartojimo planams įkelti, užklausos pristatymui į namus ir registracijos konsultacijoms ar skiepams. Siuntų vaistinės ir vaistinės su prekyba internetu papildomai eksploatuoja parduotuvę, pavyzdžiui, ant WooCommerce ar Shopware 6.
Kai kurios svetainės kilusios iš kooperacijų ar specializuotų teikėjų svetainių paketų, kitas sukūrė vietinė agentūra. PHP2Shell atveju tai lemia, kas eksploatuoja serverį ir todėl atsako už PHP pataisą.
Ypač atskleidžiančios yra pristatymo į namus užklausos. Jos sieja gyvenamosios vietos adresą, telefono numerį ir vaistą, dažnai iš pagyvenusių ar slaugomų žmonių. Kas tokius įrašus nuskaito, žino, kas gyvena vienas, kokių priemonių reguliariai reikia ir kada pristatoma. Tai daro juos įdomius sukčiams, kurie tikslingai kreipiasi į vyresnio amžiaus žmones.
Sveikatos duomenys: kodėl jau išankstinio užsakymo forma jautri
Vardas plius vaistas duoda sveikatos duomenį. Tokia informacija priklauso specialioms asmens duomenų kategorijoms pagal BDAR 9 straipsnį. Vaistininkams papildomai galioja pareiga saugoti paslaptį, kurios pažeidimas pagal Vokietijos baudžiamojo kodekso (StGB, Vokietijos įstatymas) 203 straipsnį gali užtraukti baudžiamąją atsakomybę.
Žiniatinklio serveryje tokie duomenys yra keliose vietose: formos įskiepio duomenų bazėje, įkeltose receptų nuotraukose, pašto eilėse ir parduotuvėje su užsakymų istorijomis. Kas su PHP2Shell gali vykdyti kodą, paprastai prieina prie viso to nesiprisijungdamas.
Vaistinė ir svetainės sauga: ką ataka sukelia
- Duomenų nutekėjimas: Išankstiniai užsakymai ir receptų nuotraukos leidžia daryti išvadas apie ligas. Rizika paveiktiems didelė, pranešimo pareigos pagal BDAR labai tikėtinos. 72 valandų terminą įvertinate su savo duomenų apsaugos pareigūnu.
- Vaistų šlamštas: Užpuolikai įterpia paslėptus puslapius su receptinių vaistų reklama. Paieškos sistemos sumažina puslapio reitingą arba rodo įspėjimą, kaip aprašyta vadove Google įspėjimo pašalinimas.
- Prarasti išankstiniai užsakymai: Jei forma sugenda arba nukreipia kitur, klientai stovi prie prekystalio, o vaistas neužsakytas.
- Manipuliuota parduotuvė: Pakeistas užsakymo proceso kodas gali nuskaityti mokėjimo duomenis arba nukreipti klientus į suklastotus puslapius.
Parduotuvės ar CMS atnaujinimas PHP2Shell neuždaro. Spraga ištaisyta tik su PHP 8.5.12, 8.4.27, 8.3.36 ar 8.2.35 arba teikėjo patvirtintu backport ir tik po visų PHP procesų paleidimo iš naujo.
Atsakomybės spraga vaistinėje
| Sritis | Paprastai atsakingas | Dažnai neišaiškinta |
|---|---|---|
| Prekių apskaita, kasos, TI | Programinės įrangos namai arba vaistinės IT | Ryšys su internetine parduotuve |
| Svetainė iš kooperacijos paketo | Paketo teikėjas | raštiškas pataisos patvirtinimas |
| Nuosava svetainė ar parduotuvė | Agentūra ir hostingo teikėjas | kas atnaujina ir paleidžia PHP iš naujo |
Vaistinių tinkluose prisideda tai, kad kiekviena filialas gali turėti savo formas ar domenus, kurių centralizuotai niekas nevaldo.
Išankstinį užsakymą ir recepto įkėlimą kurti taupant duomenis
Daug vaistinių formų saugo daugiau nei reikia. Išankstiniam užsakymui reikia vardo, kontakto ir pageidaujamo preparato, o ne gimimo datos, adreso ar diagnozės. Receptų nuotraukos neturėtų nuolat gulėti viešai pasiekiamame įkėlimų aplanke, o po atsiėmimo turėtų būti ištrintos.
Patikrinkite ir tai, kur keliauja formų duomenys. Jei kiekvienas išankstinis užsakymas patenka kaip nešifruotas laiškas į bendrą pašto dėžutę, prie kurios prieina daug darbuotojų, ta pašto dėžutė yra tiek pat saugotina kaip serveris. O jei formos įskiepis kiekvieną užklausą papildomai deda į duomenų bazę, ten su kiekvienu mėnesiu auga sveikatos duomenų archyvas, kurio niekam nereikia.
Kuo mažiau žiniatinklio serveryje, tuo mažesnė žala, jei jis vis tiek bus pažeistas. Sprendimą dėl saugojimo terminų priimate su savo duomenų apsaugos pareigūnu.
Pirmosios valandos vaistinės vadovybei
- Iš žiniatinklio serverio eksploatuotojo raštu pasiteirauti apie PHP pataisų būseną ir paleidimą iš naujo.
- Be patvirtinimo: išjungti išankstinio užsakymo formą ir recepto įkėlimą ir pereiti prie telefono. Pakanka pranešimo pradžios puslapyje.
- Leisti išsaugoti žurnalus nuo 2026-10-20.
- Google Search Console patikrinti, ar nepranešama apie nežinomus puslapius ar saugumo problemas.
- Senas receptų nuotraukas ir formų įrašus, kurių nebereikia, suderinus su duomenų apsaugos pareigūnu leisti ištrinti.
Kaip konkrečiai padeda PHP SOS?
- Su paketo teikėju, agentūra ar hostingo teikėju išsiaiškiname, kas pataiso PHP, ir gauname patvirtinimą su paketo būsena.
- Tikriname svetainę ir parduotuvę dėl webshell, įterpto vaistų šlamšto ir pakeisto užsakymo kodo ir pašaliname rastą kenkėjišką programinę įrangą.
- Parodome, kur serveryje yra sveikatos duomenys, ir padedame apriboti saugojimo trukmę bei įkėlimus.
- Radinius dokumentuojame taip, kad jūsų duomenų apsaugos pareigūnas galėtų įvertinti pranešimo pareigą.
Dažni klausimai
Ar PHP2Shell veikia mūsų prekių apskaitos sistemą?
Vaistinės prekių apskaitos sistema ir prieiga prie telematikos infrastruktūros paprastai veikia atskirai nuo svetainės. Paveikti yra PHP žiniatinklio serveriai, taigi dažniausiai svetainė, išankstinio užsakymo forma ir internetinė parduotuvė. Ar tarp parduotuvės ir prekių apskaitos yra sąsajų, turėtų patikrinti jūsų IT paslaugų teikėjas.
Mūsų svetainė sukurta iš mūsų kooperacijos konstruktoriaus. Kas atsakingas?
Kooperacijų, didmenininkų ar specializuotų teikėjų svetainių paketų atveju serverį dažniausiai eksploatuoja pats teikėjas. Tuomet PHP pataisa yra jo reikalas. Raštu paklauskite apie būseną, nes atsakomybė už jūsų klientų duomenis lieka jūsų vaistinei.
Kas yra Pharma Hack?
Taip vadinamos atakos, kai pažeistoje svetainėje įterpiami paslėpti puslapiai ar nuorodos su vaistų reklama. Lankytojai dažnai to nemato, bet paieškos sistemos mato. Vaistinei tai ypač jautru, nes toks turinys atsiranda patikimu vardu.