חוקרי אבטחת סייבר גילו פירצה במערכת McHire, פלטפורמת הצ'אטבוט לגיוס עובדים של מקדונלד'ס, שחשפה את הצ'אטים של יותר מ-64 מיליון בקשות לעבודה ברחבי ארצות הברית.
הפירצה נמצאה על ידי החוקרים איאן קרול (Ian Carroll) וסם קארי (Sam Curry), שגילו כי לוח הניהול של הצ'אטבוט השתמש בחשבון בדיקה עם שם משתמש וסיסמה "123456".
החוקרים גילו שתי בעיות קריטיות במהלך בדיקה קצרה של כמה שעות: ממשק הניהול של McHire עבור בעלי זיכיונות קיבל את פרטי ההתחברות המוגדרים כברירת מחדל "123456:123456", ופירצה מסוג Insecure Direct Object Reference (IDOR) ב-API פנימי אפשרה להם לגשת לכל אנשי הקשר והצ'אטים שרצו. יחד, הפירצות האלה אפשרו לכל מי שהיה לו חשבון McHire וגישה לתיבת דואר כלשהי לשלוף את המידע האישי של יותר מ-64 מיליון מועמדים.
המועמדים לעבודה משוחחים עם צ'אטבוט בשם "אוליביה", שמבצע מבחני אישיות ומנהל את תהליך הגיוס. המידע שנחשף כלל שמות, כתובות דוא"ל, מספרי טלפון, כתובות, מדינת מגורים של המועמדים ואפילו טוקנים לאימות שמאפשרים להתחבר כמועמדים לממשק המשתמש. בנוסף, החוקרים יכלו לראות "אינטראקציית צ'אט של כל מי שהגיש מועמדות לעבודה במקדונלד'ס אי פעם".
הפירצה התגלתה לאחר תלונות של משתמשי Reddit על תשובות "מגוחכות" של הצ'אטבוט. החוקרים בדקו את המערכת על ידי הגשת מועמדות לעבודה, אינטראקציה עם הצ'אטבוט "אוליביה" ומעבר מבחן אישיות של Traitify. בזמן שהם צפו במועמדות שלהם מצד המסעדה, הם מצאו API נסתר שאפשר להם לגשת לנתוני צ'אטים.
החוקרים דיווחו על הבעיה למקדונלד'ס ול-Paradox.ai, החברה שבנתה את הצ'אטבוט. מקדונלד'ס הגיבה במהירות ואמרה שהפירצה תוקנה באותו יום, כשהסיסמה המוגדרת כברירת מחדל הושבתה וה-API נאטם. Paradox.ai אישרה שהבעיה תוקנה והוסיפה שהיא עורכת בדיקה של המערכות שלה כדי למנוע בעיות דומות בעתיד.
Paradox.ai טענה שרוב רשומות הצ'אט לא היו קשורות למועמד ספציפי ולא כללו מידע אישי, ושלא היו עדויות לכך שמישהו מלבד החוקרים ניגש לנתונים. עם זאת, המידע שנחשף עלול לשמש לפישינג, כמו הונאות שבהן מתחזים למגייסים של מקדונלד'ס כדי לגנוב פרטים פיננסיים.
האירוע הזה מדגיש את הסיכונים של מערכות AI שמטפלות בנתונים רגישים ללא אבטחה מספקת, ומזכיר לחברות כמה חשוב להשקיע בהגנת מידע.
