Bot Rekrutacyjny McDonald’s z Sztuczną Inteligencją Ujawnia Dane 64 Milionów Kandydatów do Pracy w Wyniku Dużego Wycieku Danych

Słaby hasło w chatbocie rekrutacyjnym McDonald’sa doprowadziło do ujawnienia danych milionów kandydatów do pracy, budząc poważne obawy dotyczące AI, prywatności i praktyk związanych z cyfrowym bezpieczeństwem.

Poważna luka w zabezpieczeniach platformy rekrutacyjnej McDonald’s narażała dane osobowe milionów kandydatów na pracę, korzystając z zaskakująco prostych metod, jak po raz pierwszy zgłosił WIRED. Problem z bezpieczeństwem został wykryty na stronie McHire.com, która umożliwia kandydatom interakcję z „Olivią”, chatbotem AI stworzonym przez Paradox.ai do przesiewu kandydatów.

WIRED informuje, że eksperci ds. bezpieczeństwa Ian Carroll i Sam Curry uzyskali dostęp do systemu backend firmy McHire, łącząc nazwę użytkownika i hasło „123456”. Badacze uzyskali dostęp do informacji o kandydatach, w tym imion, adresów e-mail, numerów telefonów i rejestrów czatu z ponad 64 milionów rekordów po wejściu do systemu.

„Pomyślałam, że jest to dość unikalnie dystopijne w porównaniu do normalnego procesu rekrutacji” – powiedziała Carroll do WIRED. „Więc zaczęłam składać podanie o pracę, a po 30 minutach mieliśmy pełny dostęp do praktycznie każdego podania, które kiedykolwiek zostało złożone do McDonald’s od lat” – dodała Carroll.

Paradox.ai potwierdziło błąd w oświadczeniu i stwierdziło, że tylko niewielka liczba rekordów zawierała dane osobowe. Wykorzystywane konto nie było dostępne od 2019 roku i nie miało podstawowych zabezpieczeń, takich jak uwierzytelnianie wieloskładnikowe. „Nie lekceważymy tej sprawy,” powiedziała główna radca prawna Paradox.ai, Stephanie King, jak podaje WIRED. „To jest nasza odpowiedzialność,” dodała.

WIRED donosi, że McDonald’s wydał inne oświadczenie, w którym wskazał Paradox.ai jako źródło problemu i stwierdził, że kwestia została natychmiast naprawiona. „Jesteśmy rozczarowani tym niedopuszczalnym zagrożeniem ze strony dostawcy zewnętrznego,” powiedziała firma.

Carroll i Curry wyjaśnili, że ujawnione dane mogłyby być wykorzystane do przeprowadzania ataków phishingowych poprzez podszywanie się pod personel HR McDonald’s, który prosiłby kandydatów o wrażliwe informacje finansowe. Ujawnione dane obejmowały informacje niewrażliwe, ale ich kontekst jako aplikacje o pracę za minimalną stawkę stwarzał potencjalne ryzyko szkód dla kandydatów.