メディネットのe-haプロモーションLPで、2018年から2021年にかけての問い合わせデータ67件が、外部サービスCVXの認証・API権限管理の不備を悪用されて漏えいしたと発表された。
歯科医院向けサービス「e-haシリーズ」の販促ページで受け付けた問い合わせ情報のうち、2018年から2021年にかけて送信されたデータが漏えいの対象となっている。漏えいデータには歯科医院名、氏名、医院の電話番号、メールアドレス、連絡事項が含まれる。対象件数は67件とされ、個人特定につながる情報が含まれている点が指摘されている。
不正アクセスの原因として、CVX提供元のポストスケイプが認証とAPI権限管理の不備を挙げている。改修はすでに完了したと報告されており、今回の公表は過去の販促ページで収集された情報への影響を説明する目的である。なお、e-haシリーズの全サービスや診療情報が漏えいしたとの発表ではないとされている。
企業はCVX運営事務局を通じて個人情報保護委員会への報告を進める方針で、対象となり得る歯科医院には過去の問い合わせ履歴の確認と不審な連絡への警戒を呼びかけている。過去データや外部委託先の管理を点検・適切な権限停止・削除の調整を進めるべきとの指摘もある。