Dossier mchire-paradox-exposureFuite de modèle et de donnéesÉtats-Unis
Le bot de recrutement McHire de McDonald's expose jusqu'à 64 M de candidatures via « 123456 »
Des chercheurs ont accédé au panneau d'administration du chatbot de recrutement Olivia avec les identifiants par défaut 123456 et une faille IDOR, exposant journaux de chat et coordonnées liés à jusqu'à 64 M de candidatures.
ÉlevéeAttaque contre l’IAStatut: CorrigéDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 9 juil. 2025
- Lieu
- États-Unis
- Cible
- McDonald's / Paradox.ai
- Gravité
- Élevée
- Déclenché par
- Chercheurs en sécurité Ian Carroll et Sam Curry (divulgation responsable)
- Type d’acteur
- Chercheurs en sécurité
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Des chercheurs ont accédé au panneau d'administration du chatbot de recrutement Olivia avec les identifiants par défaut 123456 et une faille IDOR, exposant journaux de chat et coordonnées liés à jusqu'à 64 M de candidatures.
Impact: Noms, e-mails, numéros de téléphone, adresses et transcriptions de chatbot liés à jusqu'à 64 millions de candidatures McHire étaient accessibles ; Paradox affirme que seuls les chercheurs ont consulté une partie des enregistrements
Qui l’a déclenché
Acteur: Chercheurs en sécurité Ian Carroll et Sam Curry (divulgation responsable)
Attribution: Auto-divulgué par les chercheurs ; confirmé par Paradox.ai et McDonald's
Mobile: Recherche en sécurité ; aucun accès malveillant signalé
Comment c’est arrivé
Vecteur d’attaque: Identifiants par défaut 123456/123456 sur un compte franchise de test Paradox.ai dans le portail d'administration McHire, plus une IDOR sur une API interne permettant l'énumération des lead_id
Cause racine: Identifiants de test par défaut jamais modifiés sur un portail d'administration relié à la production et absence de contrôles d'autorisation sur une API de données de candidats
Chronologie
- Les chercheurs découvrent les failles et les signalent à Paradox.ai et McDonald's
- Identifiants par défaut désactivés et IDOR corrigée le jour même, selon McDonald's et Paradox.ai
- Divulgation publique via Wired et BleepingComputer ; Paradox.ai annonce un programme de bug bounty
Réponse
Paradox.ai et McDonald's ont corrigé les failles le jour même de leur signalement ; Paradox a lancé un programme de divulgation de vulnérabilités avec récompenses
Statut actuel: Corrigé
Sources (nouvel onglet)
- BleepingComputer bleepingcomputer.com
- CSO Online csoonline.com
- Cyber Daily cyberdaily.au
Citer ce dossier
Le bot de recrutement McHire de McDonald's expose jusqu'à 64 M de candidatures via « 123456 ». AI Threat Watch, dossier mchire-paradox-exposure, 9 juil. 2025. https://aithreat.io/fr/cases/mchire-paradox-exposure/
Lien permanent: https://aithreat.io/fr/cases/mchire-paradox-exposure/