Facebook の Meta Pixel:ミスコンフィグレーションで 130万人分の医療データが流出

Misconfigured Meta Pixel exposed healthcare data of 1.3M patients

2022/08/22 BleepingComputer — 米国の医療機関である Novant Health は、Meta Pixel 広告トラッキング・スクリプト Meta Pixel により誤って機密情報を収集してしまった、136万2296人に影響をおよぼすデータ侵害を公表した。Meta Pixel (旧 Facebook Pixel) とは、Facebook の広告主が広告のパフォーマンスを追跡するためにサイトに追加する、JavaScript 追跡スクリプトのことである。

患者データに関する不正なアクセス/開示は、Facebook 広告を含む COVID-19 ワクチン接種のプロモーション・キャンペーンを、2020年5月に Novant が実施したときから始まっていた。

Novant は、これらの広告を追跡するために、Meta Pixel コードをサイトに設置し、広告の効果を測定していた。先週末の声明にあるように、Novant Health のサイト/MyChart ポータルで、Meta Pixel がミスコンフィグレーションされ、Meta と広告パートナーへ向けてプライバシー情報が送信されていたようだ。

Meta Pixel を通じて流出した可能性のある情報には、以下のものが含まれる。

  • Eメールアドレス
  • 電話番号
  • IP アドレス
  • 緊急連絡先
  • 予約の種類/日付
  • 選択した医師
  • ポータル・メニューの選択
  • フリーテキスト・ボックスに入力された、全ての内容

MyChart ポータルは、米国内の 64 の医療サービス・プロバイダーに利用されており、医師の予約/処方箋の再処方依頼/担当医への連絡などが、患者たちへのサービスとして提供されている。そして、残念なことに、Novant のサービスを直接使用したことがない人々であっても、このトラッカーの設定ミスにより、データが公開された可能性があるようだ。

Novant は、同社の IT チームがミスコンフィグレーションに気づいた 2022年5月に、ようやくサイトとポータルから Meta pixel を削除した。そのため、暴露は2年間続いていたことになる。

Novant Health は、Web サイトで、「我々は、Meta pixel に、意図しない情報を Meta に送信する機能があることに気づいた直後に、予防措置として Meta pixel を無効化/削除した。その上で、情報送信の有無および量について調査を開始した」と説明している。

同社は、2022年6月17日に終了した長期間におよぶ調査の後に、影響を受けた個人を特定したしたとしている。したがって、通知を受け取った人だけが、侵害されたと考えることができる。

Novant は Meta に対して、ヘルスケア・データの削除を何度も依頼したが、回答は得られなかったとしている。Novan Health は、「私たちは、さまざまな手段で Meta Facebook に何度か連絡を取ったが、回答は得られなかった」とアドバイザリで述べている。

関連する訴訟

最近、Meta と米国の2つの医療センターに対して、Meta Pixel を通じた個人情報の意図的な収集が、ユーザーの同意を求めずに行われていると主張する、集団訴訟が起こされた。この訴訟では、被告の欄に2つの医療サービス・プロバイダーが挙げられており、アウトラインには、同様の違法な追跡慣行に従っている国内の多くの病院が含まれていた。

今回の、設定ミスの発見の遅れを考慮すると、法的措置のニュースを受けて調査が開始された可能性がある。情報漏えいに関する通達をしても、インシデントの影響は緩和されない。しかし、UCSF Medical Center/Dignity Health Medical Foundation に対するものと同様の理由で、法的措置に直面する可能性を低減させることはできるかもしれない。

7月30日に「Meta (FB) と米病院が提訴された:ターゲティング広告のために医療データを収集/使用?」という記事をポストしていたので、その続報かと思いましたが、まったくの別件でした。Meta Pixel と医療データの絡みですが、前回も今回も惨憺たる状況を生み出しているようです。Meta が、あらゆる領域/分野に接点を求めていくのは、当たり前のことかもしれませんが、ここは病院側で止めてほしい話ですね。とは言え、Covid-19 の混乱もあり、一方的に攻めるのも、ちょっと可哀想な気がします。

%d bloggers like this: