Un fallo crítico en bot de IA de McDonald’s pone en riesgo la seguridad de millones de solicitantes de empleo

Una investigación reciente ha revelado que fallos básicos de seguridad en la plataforma McHire, utilizada por McDonald's para gestionar procesos de selección, dejaron expuestos los datos personales de hasta 64 millones de personas. El sistema, desarrollado por la empresa Paradox.ai, usaba la inteligencia artificial "Olivia" para interactuar con los candidatos, pero contaba con credenciales tan débiles como la contraseña "123456" en una cuenta administrativa.

El agujero lo encontraron los investigadores de ciberseguridad Ian Carroll y Sam Curry, quienes descubrieron que bastaba probar combinaciones sencillas para acceder a registros internos. Esto permitió ver conversaciones completas de los solicitantes con el chatbot Olivia, que incluían nombres, direcciones de correo electrónico y números de teléfono.

Malas prácticas en ciberseguridad en grandes empresas

En este caso no hizo falta un malware para obtener datos privados ni un ataque complejo a una gran empresa. Solo fue necesario el ingenio de ambos investigadores y las malas prácticas en materia de ciberseguridad de McDonald's. Lo más llamativo es que la cuenta vulnerable no solo tenía una contraseña extremadamente simple, sino que además no contaba con autenticación multifactor. Tras acceder, los investigadores comprobaron que podían consultar solicitudes de empleo pasadas simplemente cambiando el número de identificación de cada solicitante en la base de datos.

Paradox.ai ha confirmado que este fallo afectaba a una cuenta de prueba sin uso desde 2019 y que, tras el aviso de los investigadores, fue desactivada de inmediato. También ha anunciado la puesta en marcha de un programa de recompensas por encontrar fallos para evitar incidentes similares en el futuro. Por su parte, McDonald's ha responsabilizado a Paradox.ai y ha declarado que la vulnerabilidad fue solucionada el mismo día en que se notificó.

Aunque los datos expuestos no incluyen información financiera, los expertos advierten que podrían haber sido utilizados para suplantar a reclutadores de McDonald's, generando estafas o fraudes dirigidos a quienes buscan empleo.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!