El Bot de Contratación por IA de McDonald’s Expone a 64 Millones de Solicitantes de Empleo en un Importante Fallo de Seguridad de Datos

La débil contraseña del chatbot de contratación de McDonald’s expuso los datos de millones de solicitantes de empleo, lo que suscita serias preocupaciones sobre la IA, la privacidad y las prácticas de seguridad digital.

Un grave fallo de seguridad en la plataforma de contratación de McDonald’s expuso los datos personales de millones de solicitantes de empleo utilizando métodos sorprendentemente básicos, según lo informó por primera vez WIRED. El problema de seguridad se encontró en McHire.com, que permite a los candidatos interactuar con “Olivia”, el chatbot de inteligencia artificial desarrollado por Paradox.ai para la evaluación de candidatos.

WIRED informa que los expertos en seguridad Ian Carroll y Sam Curry obtuvieron acceso al sistema de back-end de McHire mediante la combinación del nombre de usuario y la contraseña “123456”. Los investigadores obtuvieron acceso a la información de los solicitantes, incluyendo nombres, correos electrónicos, números de teléfono y registros de chat de más de 64 millones de registros después de entrar en el sistema.

“Simplemente pensé que era bastante distópico en comparación con un proceso de contratación normal”, dijo Carroll a WIRED. “Así que empecé a solicitar un trabajo, y luego de 30 minutos, teníamos acceso completo a prácticamente todas las solicitudes que se han hecho a McDonald’s a lo largo de los años”, añadió Carroll.

Paradox.ai confirmó la falla en un comunicado y dijo que solo un pequeño número de registros contenían datos personales. La cuenta expuesta no se había accedido desde 2019 y carecía de protecciones básicas como la autenticación multifactor. “No tomamos este asunto a la ligera”, dijo la directora legal de Paradox.ai, Stephanie King, según lo informado por WIRED. “Nosotros asumimos esto”, agregó.

WIRED informó que McDonald’s emitió un comunicado diferente, que apuntaba a Paradox.ai como la fuente del problema y afirmaba que el problema se solucionó de inmediato. “Estamos decepcionados por esta inaceptable vulnerabilidad de un proveedor externo”, dijo la empresa.

Carroll y Curry explicaron que los datos expuestos podrían ser utilizados para ejecutar ataques de phishing mediante la suplantación del personal de Recursos Humanos de McDonald’s, quienes solicitarían información financiera sensible de los solicitantes. Los datos expuestos incluían información no sensible, pero su contexto como solicitudes de empleo de salario mínimo creaba riesgos potenciales de daño para los solicitantes.