Technologie
Ein eklatanter Sicherheitsmangel auf der von McDonald's genutzten Bewerbungsplattform "McHire" hat die persönlichen Daten von Millionen Jobsuchender gefährdet. Die vom KI-Softwareunternehmen Paradox.ai entwickelte Plattform wies derart grundlegende Schwachstellen auf, dass Hacker über ein Administrator-Konto mit dem Passwort "123456" auf sensible Informationen zugreifen konnten.
Die Sicherheitsforscher Ian Carroll und Sam Curry deckten auf, wie einfach es war, in das Backend der McHire-Plattform einzudringen. Sie fanden heraus, dass simple webbasierte Lücken es ihnen ermöglichten, auf die Datenbanken zuzugreifen. Diese enthielten sämtliche Chat-Protokolle des Bots "Olivia", der Bewerber filtert und persönliche Daten wie Namen, E-Mail-Adressen und Telefonnummern abfragt. Berichten zufolge sind bis zu 64 Millionen Datensätze betroffen.
Ian Carroll erklärte, die Idee zur Untersuchung sei ihm gekommen, als er die "einzigartig dystopische" Erfahrung der Bewerbung über einen KI-Chatbot nachvollziehen wollte. "Nach 30 Minuten hatten wir vollen Zugriff auf praktisch jede Bewerbung, die jemals bei McDonald's eingereicht wurde, über Jahre hinweg", so Carroll.
Sowohl McDonald's als auch Paradox.ai bestätigten die Ergebnisse. Paradox.ai versicherte, dass nur ein Bruchteil der Datensätze persönliche Informationen enthielt und das betroffene Administrator-Konto außer den Forschern von keiner Drittpartei unbefugt genutzt wurde. Das Unternehmen kündigte ein "Bug Bounty"-Programm an, um zukünftige Sicherheitslücken zu vermeiden. "Wir nehmen diese Angelegenheit nicht auf die leichte Schulter", so Stephanie King, Chief Legal Officer von Paradox.ai.
McDonald's schob die Verantwortung auf den Drittanbieter: "Wir sind enttäuscht über diese inakzeptable Schwachstelle von Paradox.ai. Das Problem wurde noch am selben Tag behoben", hieß es in einer Stellungnahme.
Die Sicherheitsforscher warnen, dass die offengelegten Daten, obwohl nicht hochsensibel, ein massives Phishing-Risiko darstellen könnten. Betrüger könnten sich als McDonald's-Recruiter ausgeben und beispielsweise Bankdaten für die Gehaltsabrechnung anfordern.
