Hackere har gemt links til potensmedicin på et fynsk lægehus' hjemmeside

Sådan ser et skjult link ud

Siden ser helt almindelig ud. Kontakt, telefontid, praktisk information. Men i koden bag tre af undersiderne ligger en boks med et link til en fransk side, der sælger potensmedicin, og boksen er placeret mere end tusind pixel uden for skærmen.

<div style="position: absolute; top: -1476px; left: -1147px">
  <a href="https://cialis…">…</a>
</div>

Det kaldes linkspam, og det er den samme slags fund, som vi så på en klinikside på Frederiksberg i september. Nogen har fået adgang til siden og lagt links ind, fordi et lægehus' hjemmeside er en troværdig afsender i Googles øjne. Linkene skal få salgssiderne til at se mere troværdige ud. Klinikken har ingen gavn af dem, kun risikoen.

Hvorfor det betyder noget

Google leder efter netop den slags og kan markere en side som hacket i søgeresultatet. Så er det advarslen, patienten ser, før klinikkens navn. Og et lægehus' hjemmeside, der peger på receptpligtig medicin uden recept, er ikke det, nogen på klinikken ønsker at stå bag.

Siden kører i dag en opdateret udgave af WordPress. Linkene ligger der stadig. En opdatering lukker hullet, men fjerner ikke det, der allerede er lagt ind.

Det var ikke det eneste fund

Vi har hentet adressen på hver praksis fra sundhed.dk og læst op til 15 sider pr. klinik, med siderne om kontakt, åbningstider, nyheder og priser først. Hvert link på de sider er tjekket.

Det typiske tal er to fund pr. side. 22 sider havde tre eller flere slags fejl. Den side med flest havde 18 fund, heraf 16 links til klinikkens eget gamle domæne.

Fejlene falder i fire grupper, og ingen af dem kræver en ny hjemmeside at rette.

Indhold, der er blevet gammelt

29 sider har stadig tekst fra coronatiden. Vi har ikke talt coronavaccination med, den er stadig aktuel. 18 sider har intet årstal nyere end 2024, og på 14 er nyhedssiden ikke opdateret i over et år.

For patienten er spørgsmålet ikke, om teksten er gammel. Det er, om resten af siden så stadig gælder. Telefontiden, for eksempel. En AI-assistent stiller ikke det spørgsmål: den læser den gamle tekst på lige fod med den nye.

Links, der ikke virker

41 sider linker til sider andre steder, der ikke findes længere, typisk en vejledning eller en app, der er flyttet. 11 sider linker til deres egne sider, der ikke findes. Vi har kun talt et link som dødt, når serveren selv svarer, at siden ikke findes.

Software uden sikkerhedsopdateringer

49 sider kører på en udgave af WordPress eller PHP, der ikke længere får sikkerhedsopdateringer. 45 af dem deler den samme opsætning: WordPress 5.3 fra 2019 og PHP 7.3, som fik sin sidste sikkerhedsopdatering i december 2021. Det kan ingen patient se. Men forældet software er en af de mest almindelige veje ind for den, der vil lægge skjulte links på en side.

Ingen sikker forbindelse

8 sider har ingen https, så browseren skriver "Ikke sikker" i adresselinjen, før patienten har læst et ord. 5 andre har https, men henter billeder eller filer over en usikker forbindelse.

11 praksis, hvor patienten ikke finder en side

Fire praksis har ingen hjemmeside registreret. Syv har en adresse på sundhed.dk, der ikke svarer. For en patient, der klikker videre fra sundhed.dk, ser de to ens ud: der er ingenting.

Ti minutter, I kan bruge i dag, med eller uden os

De fleste af fejlene i skannet kan I selv finde uden teknisk hjælp:

1. Søg efter "corona" på jeres egen sideSkriv corona site:jeresdomæne.dk i Google. Alt, hvad der dukker op, bortset fra vaccination, kan sikkert slettes.
2. Rul ned i bunden af forsiden og nyhedssidenStår der et årstal fra før 2025, er det dét, patienten ser.
3. Klik på hvert link om tidsbestilling, recepter og kontaktDet er dér, de døde links oftest står.
4. Se efter hængelåsen i adresselinjenStår der "Ikke sikker", skal webhotellet slå https til. Det er som regel gratis.
5. Søg efter "cialis" på jeres egen sideSkriv cialis site:jeresdomæne.dk i Google. Et hacket link kan ikke ses på siden, men Google har ofte læst det.
6. Spørg den, der passer jeres side, hvilken udgave af WordPress og PHP den kører påEr svaret WordPress 5 eller PHP 7, er den ikke opdateret.

Det, vi gør

Ajura bygger lægeklinikkers hjemmesider og tjekker dem hver morgen: virker linkene, er certifikatet gyldigt, står der noget, der er blevet gammelt. Når tjekket finder noget, retter vi det, og klinikken kan se i sit eget dashboard, hvad der blev rettet og hvornår.

Måden, siderne er bygget på, gør dem også lette at læse for en AI-søgeagent. Telefontid, åbningstider og tilgang af nye patienter står ét sted, både som tekst til patienten og som strukturerede data til maskinen, og siden er åben for AI-tjenesternes robotter. Sådan er Ajuras sider bygget til AI-søgning.

Webhotellet står i klinikkens eget navn. Vi sælger ikke rådgivning om placeringer, annoncer eller markedsføring. Det er byg og overvågning, og virkningen er en side, som patienter, Google og AI-assistenter kan læse korrekt.

Ajura gennemgik 141 fynske lægepraksis den 29. september 2026. Én hjemmeside var hacket med skjulte links til potensmedicin, og 93 af de 116 sider, der kunne gennemgås, havde mindst én fejl.

Læs også: Er vores klinikhjemmeside ramt af sårbarheden i PHP? · Kan en AI svare på, om jeres klinik tager nye patienter? · Findes jeres klinik stadig, når patienten spørger en AI? · Skal I vise en patienttilfredshedsundersøgelse på hjemmesiden?

Nøgletal