Krótko: W przypadku strony gabinetu lekarskiego chodzi o bezpieczeństwo danych zdrowotnych, a nie tylko o wizytówkę w sieci. Proszę sprawdzić, które formularze zapisują dane lub wysyłają je e-mailem, kazać sobie pisemnie potwierdzić stan poprawek PHP na serwerze, a przy podejrzeniu natychmiast zabezpieczyć logi.
Jakie systemy PHP działają w gabinetach i MVZ
Większość stron gabinetów opiera się na CMS w PHP, najczęściej na WordPressie, rzadziej na TYPO3 lub Joomli. Ciekawie robi się przy funkcjach dodatkowych: formularze próśb o receptę i skierowanie, kwestionariusze wywiadu do pobrania lub przesłania, zapisy na przypomnienia, ogłoszenia o pracy z przesyłaniem aplikacji oraz internetowa rezerwacja wizyt.
Rezerwacja wizyt jest często usługą zewnętrzną, która jest tylko osadzona. Wtedy dane o wizytach znajdują się u dostawcy. Niektóre gabinety używają jednak wtyczek rezerwacyjnych, które zapisują wizyty wraz z powodem w bazie danych własnej strony. Tę różnicę warto znać, zanim ocenią Państwo ryzyko.
Dane zdrowotne: dlaczego strona jest wrażliwsza, niż wygląda
Zdanie takie jak „Znowu potrzebuję leku na ciśnienie” w formularzu kontaktowym jest daną zdrowotną. Takie informacje należą do szczególnych kategorii danych osobowych według art. 9 RODO. Dla lekarzy obowiązuje dodatkowo tajemnica lekarska, której naruszenie może być w Niemczech karalne na podstawie § 203 StGB (niemiecki kodeks karny).
Dla strony oznacza to: wpisy z formularzy pozostające w bazie danych, kopie we wtyczkach formularzy, logi poczty na serwerze i przesłane dokumenty są podczas ataku w zasięgu atakującego. Kto wykonuje kod na serwerze, zwykle je także czyta.
Proszę sprawdzić, czy wtyczka formularza zapisuje wpisy dodatkowo w bazie danych. Wiele z nich robi to domyślnie. To, co nie jest zapisane, nie może też wyciec.
Co awaria lub wyciek danych oznacza dla gabinetu
Jeśli strona przestaje działać, pacjenci dzwonią, a telefon w gabinecie i tak jest zajęty. To uciążliwe, ale do opanowania. Większą wagę ma niezauważony atak: przekierowania na oszukańcze strony pod nazwą gabinetu, sfałszowane formularze lub przechwycone zapytania związane z chorobą.
Taki incydent może wywołać obowiązki zgłoszeniowe wobec organu nadzorczego ds. ochrony danych, a zależnie od ryzyka także zawiadomienie osób, których dane dotyczą. Termin 72 godzin z RODO zaczyna biec, gdy tylko dowiedzą się Państwo o naruszeniu. Ocenę należy ustalić z inspektorem ochrony danych.
Strona gabinetu lekarskiego i bezpieczeństwo: typowa luka w odpowiedzialności
W gabinetach jest zwykle trzech uczestników, z których każdy czuje się odpowiedzialny za część:
| Uczestnik | Zajmuje się zwykle | Często pomijane |
|---|---|---|
| Dostawca IT gabinetu | System zarządzania gabinetem (PVS), sieć, konektor, stanowiska pracy | Serwer strony u firmy hostingowej |
| Agencja internetowa | Projekt, treści, wtyczki | Wersja PHP i restart serwera |
| Firma hostingowa | Eksploatacja serwera | Dane z formularzy i wtyczki gabinetu |
W przypadku PHP2Shell luka leży dokładnie między tymi rolami: w PHP na serwerze WWW. Przy hostingu współdzielonym odpowiada zwykle firma hostingowa, ale potwierdzenie stanu pakietu muszą Państwo zażądać sami. W MVZ (medycznych centrach opieki) z kilkoma lokalizacjami dochodzi często jeszcze podmiot prowadzący, który ma własne wytyczne.
Czy istnieje pomost między stroną a siecią gabinetu?
Zwykle strona gabinetu działa u firmy hostingowej i nie ma bezpośredniego połączenia z systemem zarządzania gabinetem. Są jednak wyjątki, które warto znać: formularze, które automatycznie przekazują dane do PVS, serwer strony we własnym centrum danych MVZ lub dane dostępowe używane jednocześnie dla strony, kont pocztowych i zdalnej konserwacji.
W takich przypadkach skompromitowany serwer WWW to nie tylko problem strony. Proszę poprosić dostawcę IT gabinetu i opiekuna strony o wspólne sprawdzenie, jakie istnieją połączenia i które hasła są używane wielokrotnie. Dla IT gabinetu obowiązują ponadto wytyczne Kassenärztliche Bundesvereinigung (niemieckiego Federalnego Zrzeszenia Lekarzy Ubezpieczeniowych) dotyczące bezpieczeństwa IT. W jakim stopniu dotyczą one strony, ustalają Państwo z inspektorem ochrony danych.
Pierwsze godziny po ostrzeżeniu
- Zapytać firmę hostingową, czy PHP ma wersję 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo czy wprowadzono backport, oraz czy zrestartowano wszystkie procesy PHP.
- Jeśli nie zostało to potwierdzone: tymczasowo wyłączyć stronę lub zastąpić ją statyczną stroną informacyjną z godzinami telefonu, tak jak zaleca BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) dla serwerów, których nie da się załatać.
- Zabezpieczyć logi serwera i logi dostępu od 20.10.2026.
- Zwrócić uwagę na oznaki kompromitacji: nieznane pliki, nowe konta administratorów, zmienione przekierowania.
- Włączyć inspektora ochrony danych wcześnie, a nie dopiero po oczyszczeniu.
Jak PHP SOS pomaga w praktyce?
- Ustalamy z firmą hostingową i agencją, kto łata i restartuje PHP, oraz uzyskujemy potwierdzenie ze stanem pakietu.
- Sprawdzamy, gdzie na serwerze WWW znajdują się dane z formularzy, przesłane pliki i kopie poczty oraz czy istnieją połączenia z siecią gabinetu.
- Przy podejrzeniu zabezpieczamy ślady, szukamy webshelli i oczyszczamy serwer w ramach naszej pomocy awaryjnej przy zhakowanych stronach.
- Dokumentujemy incydent tak, aby Państwa inspektor ochrony danych mógł ocenić obowiązek zgłoszenia.
- Następnie ograniczamy zapisywane dane i utwardzamy serwer, aby następnym razem stawka była mniejsza.
Częste pytania
Czy moje oprogramowanie gabinetowe jest dotknięte przez PHP2Shell?
System zarządzania gabinetem i dostęp do infrastruktury telematycznej działają zwykle oddzielnie od strony internetowej. Dotknięte są serwery WWW z PHP, czyli najczęściej strona gabinetu oraz podłączone do niej formularze lub portale. To, czy istnieją połączenia między stroną a siecią gabinetu, powinien sprawdzić Państwa dostawca usług IT.
Czy dane z formularza kontaktowego to dane zdrowotne?
Często tak. Już prośba o receptę kontynuacyjną lub o termin z powodu określonych dolegliwości pozwala wnioskować o zdrowiu. Takie dane należą do szczególnych kategorii według art. 9 RODO. Dokładną klasyfikację ustalają Państwo z inspektorem ochrony danych.
Czy muszę poinformować pacjentów, jeśli strona została zhakowana?
Zależy to od tego, czy dotknięte są dane osobowe i jak wysokie jest ryzyko dla pacjentów. W przypadku danych zdrowotnych ryzyko jest często wysokie. Decyzję podejmują Państwo z inspektorem ochrony danych, w razie potrzeby z poradą prawną.
Kto odpowiada za aktualizacje PHP na stronie gabinetu?
Wynika to z umowy hostingowej lub serwisowej. Przy hostingu współdzielonym i zarządzanym poprawki instaluje zwykle firma hostingowa, przy własnym serwerze zleceniobiorca. Jeśli brakuje jasnej regulacji, warto ją teraz ustalić na piśmie.