Kort gezegd: Bij de websitebeveiliging van een apotheek gaat het om gezondheidsgegevens: wie een medicijn voorbestelt of een recept fotografeert, verraadt iets over zijn gezondheid. Stel vast wie uw webserver beheert, laat PHP-patch en herstart bevestigen en let op verborgen reclame voor geneesmiddelen, die aanvallers graag op apotheeksites inbrengen.
Welke PHP-systemen apotheken gebruiken
Veel apotheken hebben een website met openingstijden, spoeddienstinformatie en een formulier voor voorbestelling. Vaak komt daar een functie bij voor het uploaden van receptfoto's of medicatieoverzichten, plus aanvragen voor bezorging aan huis en afspraken voor advies of vaccinaties. Postorderapotheken en apotheken met online verkoop beheren daarnaast een webshop, bijvoorbeeld op WooCommerce of Shopware 6.
Sommige sites komen uit websitepakketten van samenwerkingsverbanden of gespecialiseerde aanbieders, andere heeft een plaatselijk bureau gebouwd. Voor PHP2Shell hangt het daarvan af wie de server beheert en dus verantwoordelijk is voor de PHP-patch.
Bijzonder veelzeggend zijn aanvragen voor bezorging aan huis. Ze verbinden woonadres, telefoonnummer en medicijn, vaak van oudere of zorgbehoevende mensen. Wie zulke gegevens buitmaakt, weet wie alleen woont, welke middelen regelmatig nodig zijn en wanneer er wordt geleverd. Dat maakt ze interessant voor oplichters die gericht oudere mensen benaderen.
Gezondheidsgegevens: waarom al een voorbestelformulier gevoelig is
Naam plus medicijn levert een gezondheidsgegeven op. Zulke gegevens horen tot de bijzondere categorieën persoonsgegevens volgens art. 9 AVG. Voor apothekers geldt bovendien een geheimhoudingsplicht, waarvan schending in Duitsland volgens § 203 StGB (het Duitse wetboek van strafrecht) strafbaar kan zijn.
Op de webserver staan zulke gegevens op meerdere plaatsen: in de database van de formulier-plug-in, in geüploade receptfoto's, in e-mailwachtrijen en in de webshop met bestelgeschiedenissen. Wie via PHP2Shell code kan uitvoeren, komt doorgaans bij dat alles, zonder in te hoeven loggen.
Apotheek en websitebeveiliging: wat een aanval aanricht
- Gegevenslek: Voorbestellingen en receptfoto's laten conclusies over aandoeningen toe. Het risico voor betrokkenen is hoog, meldplichten volgens de AVG liggen voor de hand. De termijn van 72 uur beoordeelt u met uw functionaris voor gegevensbescherming.
- Farmaspam: Aanvallers brengen verborgen pagina's in met reclame voor receptplichtige middelen. Zoekmachines waarderen de site af of tonen een waarschuwing, zoals beschreven in de gids Google-waarschuwing verwijderen.
- Verloren voorbestellingen: Valt het formulier uit of leidt het om, dan staan klanten aan de balie en is het medicijn niet besteld.
- Gemanipuleerde webshop: Gewijzigde code in het bestelproces kan betaalgegevens onderscheppen of klanten naar valse pagina's sturen.
Een update van de webshop of het CMS sluit PHP2Shell niet. Het lek is pas verholpen met PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 of een door de aanbieder bevestigde backport, en pas na de herstart van alle PHP-processen.
De verantwoordelijkheidskloof in de apotheek
| Gebied | Doorgaans verantwoordelijk | Vaak onduidelijk |
|---|---|---|
| Apotheeksysteem, kassa's, telematica-infrastructuur | Softwarehuis of apotheek-IT | Koppeling met de webshop |
| Website uit samenwerkingspakket | Aanbieder van het pakket | schriftelijke patchbevestiging |
| Eigen website of webshop | Bureau en hostingprovider | wie PHP bijwerkt en herstart |
Bij apotheekketens komt daar nog bij dat elke vestiging eigen formulieren of domeinen kan hebben die centraal niemand bijhoudt.
Voorbestelling en receptupload zuinig inrichten
Veel apotheekformulieren slaan meer op dan nodig. Een voorbestelling heeft naam, bereikbaarheid en het gewenste preparaat nodig, geen geboortedatum, adres of diagnose. Receptfoto's horen niet blijvend in de openbaar bereikbare uploadmap te staan, maar na het ophalen te worden verwijderd.
Controleer bovendien waar de formuliergegevens heen gaan. Belandt elke voorbestelling als onversleutelde mail in een gezamenlijke mailbox waartoe veel medewerkers toegang hebben, dan is die mailbox even beschermwaardig als de server. En als een formulier-plug-in elke aanvraag bovendien in de database opslaat, groeit daar met elke maand een archief met gezondheidsgegevens waar niemand iets aan heeft.
Hoe minder er op de webserver staat, hoe kleiner de schade als hij toch wordt gecompromitteerd. De beslissing over bewaartermijnen neemt u met uw functionaris voor gegevensbescherming.
De eerste uren voor de apotheekleiding
- Vraag bij de beheerder van de webserver schriftelijk naar PHP-patchstatus en herstart.
- Zonder bevestiging: schakel voorbestelformulier en receptupload uit en stap over op telefoon. Een melding op de startpagina volstaat.
- Laat logs vanaf 20 oktober 2026 veiligstellen.
- Controleer in Google Search Console of onbekende pagina's of beveiligingsproblemen worden gemeld.
- Laat oude receptfoto's en formulierinzendingen die niet meer nodig zijn, na overleg met de functionaris voor gegevensbescherming verwijderen.
Hoe helpt PHP SOS concreet?
- Wij stellen met pakketaanbieder, bureau of hostingprovider vast wie PHP patcht, en vragen de bevestiging met pakketstatus op.
- Wij controleren website en webshop op webshells, ingebrachte farmaspam en gewijzigde bestelcode en verwijderen gevonden schadelijke software.
- Wij laten zien waar gezondheidsgegevens op de server staan en helpen bewaartermijn en uploads te beperken.
- Wij documenteren bevindingen zo dat uw functionaris voor gegevensbescherming de meldplicht kan beoordelen.
Veelgestelde vragen
Wordt ons apotheekinformatiesysteem getroffen door PHP2Shell?
Het apotheekinformatiesysteem en de toegang tot de telematica-infrastructuur draaien in de regel los van de website. Getroffen zijn PHP-webservers, dus meestal website, voorbestelformulier en webshop. Of er koppelingen bestaan tussen webshop en apotheeksysteem, moet uw IT-dienstverlener controleren.
Onze website komt uit een bouwpakket van onze samenwerkingsorganisatie. Wie is verantwoordelijk?
Bij websitepakketten van samenwerkingsverbanden, groothandels of gespecialiseerde aanbieders beheert meestal de aanbieder de server. Dan ligt de PHP-patch bij hem. Vraag schriftelijk naar de stand van zaken, want de verantwoordelijkheid voor de gegevens van uw klanten blijft bij uw apotheek.
Wat is een pharma-hack?
Zo heten aanvallen waarbij op een gecompromitteerde website verborgen pagina's of links voor reclame voor geneesmiddelen worden ingebracht. Bezoekers zien daar vaak niets van, zoekmachines wel. Bij een apotheek is dat bijzonder delicaat, omdat zulke inhoud onder een betrouwbare naam verschijnt.