案例 mchire-paradox-exposure模型与数据泄露美国
麦当劳McHire招聘AI因'123456'登录暴露多达6400万份求职记录
研究人员用默认密码123456和一个IDOR漏洞进入了招聘聊天机器人Olivia的管理后台，暴露了与多达6400万份求职申请相关的聊天记录和联系信息。
高针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2025年7月9日
- 地点
- 美国
- 目标
- 麦当劳/Paradox.ai
- 严重程度
- 高
- 发起者
- 安全研究人员Ian Carroll和Sam Curry（负责任披露）
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
研究人员用默认密码123456和一个IDOR漏洞进入了招聘聊天机器人Olivia的管理后台，暴露了与多达6400万份求职申请相关的聊天记录和联系信息。
影响: 与多达6400万份McHire求职申请相关的姓名、邮箱、电话、地址和聊天机器人对话记录可被访问；Paradox称只有研究人员访问了部分记录
谁发起了攻击
行为者: 安全研究人员Ian Carroll和Sam Curry（负责任披露）
归因: 由研究人员自行披露；Paradox.ai和麦当劳已确认
动机: 安全研究；未报告恶意访问
如何发生
攻击途径: McHire管理门户中一个Paradox.ai测试加盟商账户使用默认凭据123456/123456，加上内部API存在允许枚举lead_id的IDOR漏洞
根本原因: 连接生产环境的管理门户上未更改的默认测试凭据，以及求职者数据API缺少授权检查
时间线
- 研究人员发现漏洞并报告给Paradox.ai和麦当劳
- 据麦当劳和Paradox.ai称，默认凭据当天即被禁用，IDOR漏洞当天修复
- 通过Wired和BleepingComputer公开披露；Paradox.ai宣布漏洞赏金计划
应对
Paradox.ai和麦当劳在收到报告当天即修复问题；Paradox启动了漏洞披露赏金计划
当前状态: 已修补
来源（在新标签页打开）
- BleepingComputer bleepingcomputer.com
- CSO Online csoonline.com
- Cyber Daily cyberdaily.au
引用此案例
麦当劳McHire招聘AI因'123456'登录暴露多达6400万份求职记录. AI Threat Watch, 案例 mchire-paradox-exposure, 2025年7月9日. https://aithreat.io/zh/cases/mchire-paradox-exposure/