Модель угроз здесь выбрана правильно. Емейл может попасть к злоумышленнику многими путями. Взлом аккаунта, фишинг, вирусы, массовые утечки паролей и так далее. Плюс, врач сам может оказаться жертвой фишинга, он ведь не может четко идентифицировать, что именно я пишу емейл с просьбой прислать рецепт. Здесь абсолютно правильно добавить секретный элемент, известный только врачу и пациенту. И здесь две ошибки. Во-первых, родне число не является секретным. Во-вторых, не оценили стойкость пароля.