Expediente mchire-paradox-exposureFiltración de modelos y datosEstados Unidos
El bot de contratación McHire de McDonald's expuso hasta 64 M de candidaturas con la clave '123456'
Investigadores accedieron al panel de administración del chatbot de contratación Olivia con las credenciales por defecto 123456 y un fallo IDOR, exponiendo registros de chat y datos de contacto vinculados a hasta 64 millones de solicitudes.
AltaAtaque a la IAEstado: ParcheadoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 9 jul 2025
- Ubicación
- Estados Unidos
- Objetivo
- McDonald's / Paradox.ai
- Gravedad
- Alta
- Provocado por
- Investigadores de seguridad Ian Carroll y Sam Curry (divulgación responsable)
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Investigadores accedieron al panel de administración del chatbot de contratación Olivia con las credenciales por defecto 123456 y un fallo IDOR, exponiendo registros de chat y datos de contacto vinculados a hasta 64 millones de solicitudes.
Impacto: Nombres, correos, teléfonos, direcciones y transcripciones del chatbot vinculados a hasta 64 millones de solicitudes de McHire eran accesibles; Paradox afirmó que solo los investigadores accedieron a una parte de los registros
Quién lo provocó
Actor: Investigadores de seguridad Ian Carroll y Sam Curry (divulgación responsable)
Atribución: Divulgado por los propios investigadores; confirmado por Paradox.ai y McDonald's
Motivo: Investigación de seguridad; no se reportó acceso malicioso
Cómo ocurrió
Vector de ataque: Credenciales por defecto 123456/123456 en una cuenta de franquicia de prueba de Paradox.ai en el portal de administración de McHire, más un IDOR en una API interna que permitía enumerar lead_id
Causa raíz: Credenciales de prueba por defecto sin cambiar en un portal de administración conectado a producción y falta de comprobaciones de autorización en una API de datos de candidatos
Cronología
- Los investigadores encuentran los fallos y los reportan a Paradox.ai y McDonald's
- Credenciales por defecto desactivadas e IDOR corregido el mismo día, según McDonald's y Paradox.ai
- Divulgación pública a través de Wired y BleepingComputer; Paradox.ai anuncia un programa de recompensas por errores
Respuesta
Paradox.ai y McDonald's corrigieron los problemas el mismo día en que fueron reportados; Paradox lanzó un programa de recompensas por divulgación de vulnerabilidades
Estado actual: Parcheado
Fuentes (pestaña nueva)
- BleepingComputer bleepingcomputer.com
- CSO Online csoonline.com
- Cyber Daily cyberdaily.au
Citar este expediente
El bot de contratación McHire de McDonald's expuso hasta 64 M de candidaturas con la clave '123456'. AI Threat Watch, expediente mchire-paradox-exposure, 9 jul 2025. https://aithreat.io/es/cases/mchire-paradox-exposure/
Enlace permanente: https://aithreat.io/es/cases/mchire-paradox-exposure/