Krótko: W bezpieczeństwie strony apteki chodzi o dane zdrowotne: kto rezerwuje lek lub fotografuje receptę, zdradza coś o swoim zdrowiu. Proszę ustalić, kto prowadzi Państwa serwer WWW, kazać potwierdzić poprawkę PHP i restart oraz zwracać uwagę na ukrytą reklamę leków, którą atakujący chętnie wprowadzają na strony aptek.
Jakich systemów PHP używają apteki
Wiele aptek ma stronę z godzinami otwarcia, informacją o dyżurach i formularzem rezerwacji. Często dochodzi funkcja przesyłania zdjęć recept lub planów leczenia, do tego zapytania o dostawę do domu oraz terminy konsultacji lub szczepień. Apteki wysyłkowe i apteki ze sprzedażą internetową prowadzą dodatkowo sklep, na przykład na WooCommerce lub Shopware 6.
Niektóre strony pochodzą z pakietów stron od kooperacji lub wyspecjalizowanych dostawców, inne zbudowała miejscowa agencja. Dla PHP2Shell rozstrzyga to, kto prowadzi serwer i tym samym odpowiada za poprawkę PHP.
Szczególnie wymowne są zapytania o dostawę do domu. Łączą adres zamieszkania, numer telefonu i lek, często od osób starszych lub wymagających opieki. Kto przechwytuje takie rekordy, wie, kto mieszka sam, jakich środków regularnie potrzebuje i kiedy następuje dostawa. To czyni je interesującymi dla oszustów, którzy celowo zagadują osoby starsze.
Dane zdrowotne: dlaczego już formularz rezerwacji jest wrażliwy
Imię i nazwisko plus lek dają daną zdrowotną. Takie informacje należą do szczególnych kategorii danych osobowych według art. 9 RODO. Dla farmaceutów obowiązuje ponadto tajemnica zawodowa, której naruszenie może być w Niemczech karalne na podstawie § 203 StGB (niemiecki kodeks karny).
Na serwerze WWW takie dane znajdują się w kilku miejscach: w bazie danych wtyczki formularza, w przesłanych zdjęciach recept, w kolejkach poczty i w sklepie z historiami zamówień. Kto przez PHP2Shell może wykonywać kod, dociera zwykle do tego wszystkiego bez konieczności logowania.
Apteka i bezpieczeństwo strony: co powoduje atak
- Wyciek danych: Rezerwacje i zdjęcia recept pozwalają wnioskować o chorobach. Ryzyko dla osób, których dane dotyczą, jest wysokie, obowiązki zgłoszeniowe z RODO są prawdopodobne. Termin 72 godzin oceniają Państwo z inspektorem ochrony danych.
- Spam farmaceutyczny: Atakujący wprowadzają ukryte podstrony z reklamą środków na receptę. Wyszukiwarki obniżają ocenę strony lub pokazują ostrzeżenie, jak opisano w poradniku Usuwanie ostrzeżenia Google.
- Utracone rezerwacje: Jeśli formularz przestaje działać lub przekierowuje, klienci stoją przy ladzie, a leku nie zamówiono.
- Zmanipulowany sklep: Zmieniony kod w procesie zamówienia może przechwytywać dane płatnicze lub kierować klientów na sfałszowane strony.
Aktualizacja sklepu lub CMS nie zamyka PHP2Shell. Luka jest usunięta dopiero w PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo przy backporcie potwierdzonym przez dostawcę, i dopiero po restarcie wszystkich procesów PHP.
Luka w odpowiedzialności w aptece
| Obszar | Zwykle odpowiada | Często niewyjaśnione |
|---|---|---|
| System magazynowo-sprzedażowy, kasy, infrastruktura telematyczna (TI) | Dom softwarowy lub IT apteki | Połączenie ze sklepem internetowym |
| Strona z pakietu kooperacji | Dostawca pakietu | pisemne potwierdzenie poprawki |
| Własna strona lub sklep | Agencja i firma hostingowa | kto aktualizuje PHP i restartuje |
W sieciach filii dochodzi to, że każda filia może mieć własne formularze lub domeny, których nikt centralnie nie prowadzi.
Rezerwacja i przesyłanie recept: projektować z oszczędnością danych
Wiele formularzy aptek zapisuje więcej, niż trzeba. Rezerwacja potrzebuje imienia i nazwiska, danych kontaktowych i żądanego preparatu, a nie daty urodzenia, adresu ani diagnozy. Zdjęcia recept nie powinny leżeć trwale w publicznie dostępnym katalogu przesyłanych plików, lecz być usuwane po odbiorze.
Proszę sprawdzić także, dokąd trafiają dane z formularzy. Jeśli każda rezerwacja ląduje jako niezaszyfrowany e-mail we wspólnej skrzynce, do której ma dostęp wielu pracowników, skrzynka wymaga takiej samej ochrony jak serwer. A jeśli wtyczka formularza zapisuje dodatkowo każde zapytanie w bazie danych, rośnie tam z miesiąca na miesiąc archiwum danych zdrowotnych, którego nikt nie potrzebuje.
Im mniej leży na serwerze WWW, tym mniejsza szkoda, jeśli zostanie jednak skompromitowany. Decyzję o terminach przechowywania podejmują Państwo z inspektorem ochrony danych.
Pierwsze godziny dla kierownictwa apteki
- Zapytać operatora serwera WWW na piśmie o stan poprawek PHP i restart.
- Bez potwierdzenia: wyłączyć formularz rezerwacji i przesyłanie recept i przestawić się na telefon. Wystarczy komunikat na stronie głównej.
- Kazać zabezpieczyć logi od 20.10.2026.
- Sprawdzić w Google Search Console, czy zgłaszane są nieznane strony lub problemy z bezpieczeństwem.
- Stare zdjęcia recept i wpisy z formularzy, które nie są już potrzebne, kazać usunąć po uzgodnieniu z inspektorem ochrony danych.
Jak PHP SOS pomaga w praktyce?
- Ustalamy z dostawcą pakietu, agencją lub firmą hostingową, kto łata PHP, i uzyskujemy potwierdzenie ze stanem pakietu.
- Sprawdzamy stronę i sklep pod kątem webshelli, wprowadzonego spamu farmaceutycznego i zmienionego kodu zamówień oraz usuwamy znalezione złośliwe oprogramowanie.
- Pokazujemy, gdzie na serwerze znajdują się dane zdrowotne, i pomagamy ograniczyć czas przechowywania oraz przesyłane pliki.
- Dokumentujemy ustalenia tak, aby Państwa inspektor ochrony danych mógł ocenić obowiązek zgłoszenia.
Częste pytania
Czy nasz system magazynowo-sprzedażowy jest dotknięty przez PHP2Shell?
System magazynowo-sprzedażowy apteki i dostęp do infrastruktury telematycznej działają zwykle oddzielnie od strony internetowej. Dotknięte są serwery WWW z PHP, czyli najczęściej strona, formularz rezerwacji i sklep internetowy. To, czy istnieją interfejsy między sklepem a systemem magazynowym, powinien sprawdzić Państwa dostawca usług IT.
Nasza strona pochodzi z kreatora naszej kooperacji. Kto odpowiada?
W przypadku pakietów stron od kooperacji, hurtowni lub wyspecjalizowanych dostawców serwer prowadzi zwykle dostawca. Wtedy poprawka PHP leży po jego stronie. Proszę zapytać na piśmie o stan, ponieważ odpowiedzialność za dane Państwa klientów pozostaje przy Państwa aptece.
Czym jest pharma hack?
Tak nazywa się ataki, w których na skompromitowaną stronę wprowadza się ukryte podstrony lub linki z reklamą leków. Odwiedzający często niczego nie widzą, wyszukiwarki natomiast tak. W przypadku apteki jest to szczególnie delikatne, ponieważ takie treści pojawiają się pod zaufaną nazwą.