Досье mchire-paradox-exposureУтечка модели и данныхСША
AI-бот найма McHire компании McDonald's раскрыл до 64 млн записей соискателей через логин «123456»
Исследователи получили доступ к панели администратора чат-бота найма Olivia с учётными данными по умолчанию 123456 и через уязвимость IDOR, раскрыв журналы чатов и контактные данные, связанные с до 64 млн заявок.
ВысокаяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 9 июл. 2025
- Локация
- США
- Цель
- McDonald's / Paradox.ai
- Критичность
- Высокая
- Инициатор
- Исследователи безопасности Иэн Кэрролл и Сэм Карри (ответственное раскрытие)
- Тип субъекта
- Исследователи безопасности
- Сектор
- Розница и потребительские бренды
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Исследователи получили доступ к панели администратора чат-бота найма Olivia с учётными данными по умолчанию 123456 и через уязвимость IDOR, раскрыв журналы чатов и контактные данные, связанные с до 64 млн заявок.
Последствия: Были доступны имена, электронные адреса, номера телефонов, адреса и стенограммы чат-бота, связанные с до 64 млн заявок McHire; по словам Paradox, доступ к части записей получили только исследователи
Кто стоит за инцидентом
Субъект: Исследователи безопасности Иэн Кэрролл и Сэм Карри (ответственное раскрытие)
Атрибуция: Раскрыто самими исследователями; подтверждено Paradox.ai и McDonald's
Мотив: Исследование безопасности; о вредоносном доступе не сообщалось
Как это произошло
Вектор атаки: Учётные данные по умолчанию 123456/123456 на тестовом аккаунте франшизы Paradox.ai в административном портале McHire, а также IDOR во внутреннем API, позволявшая перебор lead_id
Первопричина: Неизменённые тестовые учётные данные по умолчанию на административном портале, подключённом к продакшену, и отсутствие проверок авторизации в API данных соискателей
Хронология
- Исследователи находят уязвимости и сообщают о них Paradox.ai и McDonald's
- По данным McDonald's и Paradox.ai, учётные данные по умолчанию отключены и IDOR исправлена в тот же день
- Публичное раскрытие через Wired и BleepingComputer; Paradox.ai объявляет о программе bug bounty
Реагирование
Paradox.ai и McDonald's устранили проблемы в день получения сообщения; Paradox запустила программу вознаграждений за раскрытие уязвимостей
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- BleepingComputer bleepingcomputer.com
- CSO Online csoonline.com
- Cyber Daily cyberdaily.au
Цитировать это досье
AI-бот найма McHire компании McDonald's раскрыл до 64 млн записей соискателей через логин «123456». AI Threat Watch, досье mchire-paradox-exposure, 9 июл. 2025. https://aithreat.io/ru/cases/mchire-paradox-exposure/
Постоянная ссылка: https://aithreat.io/ru/cases/mchire-paradox-exposure/