McDonald’s AI İşe Alım Botu, Büyük Veri İhlali Sonucunda 64 Milyon İş Başvurusunu Ortaya Çıkarıyor

McDonald’s işe alım sohbet botundaki zayıf şifre, milyonlarca iş başvuru sahibinin verilerini açığa çıkardı, AI, gizlilik ve dijital güvenlik uygulamaları hakkında ciddi endişeler oluşturdu.

McDonald’s işe alım platformundaki ciddi bir güvenlik açığı, milyonlarca iş başvurusu yapanın kişisel verilerini, ilk olarak WIRED tarafından bildirildiği gibi, şaşırtıcı derecede basit yöntemlerle açığa çıkardı. Güvenlik sorunu, adayların Paradox.ai tarafından aday taraması için geliştirilen “Olivia” adlı AI chatbot ile etkileşime girmesine izin veren McHire.com’da bulundu.

WIRED, güvenlik uzmanları Ian Carroll ve Sam Curry’nin “123456” kullanıcı adı ve şifresinin birleşimi yoluyla McHire’nin arka sistemine erişim sağladığını bildiriyor. Araştırmacılar, sisteme girdikten sonra, 64 milyondan fazla kayıttan isimler, e-postalar, telefon numaraları ve sohbet kayıtları dahil olmak üzere başvuru sahibi bilgilerine erişim sağladı.

Carroll, WIRED’a, “Normal bir işe alım sürecine kıyasla oldukça özgün bir distopya olduğunu düşündüm” dedi. “Bu yüzden bir iş başvurusunda bulunmaya başladım ve sonra 30 dakika sonra, yıllar boyunca McDonald’s’a yapılan hemen hemen her başvuruya tam erişimimiz oldu,” diye ekledi Carroll.

Paradox.ai, bir açıklama ile hatayı doğruladı ve yalnızca küçük bir sayıda kaydın kişisel veri içerdiğini belirtti. Söz konusu olan açık hesap, 2019 yılından beri erişim sağlanmamış ve çok faktörlü kimlik doğrulama gibi temel korumalardan yoksundu. “Bu konuyu hafife almıyoruz,” dedi Paradox.ai’nin baş hukuk müdürü Stephanie King, WIRED tarafından bildirildiği gibi. “Bunu kabul ediyoruz,” dedi.

WIRED’ın bildirdiğine göre McDonald’s, sorunun kaynağının Paradox.ai olduğunu belirten ve sorunun hemen düzeltildiğini bildiren başka bir açıklama yayımladı. “Üçüncü taraf bir sağlayıcıdan kaynaklanan bu kabul edilemez zafiyet konusunda hayal kırıklığına uğradık,” dedi şirket.

Carroll ve Curry, açığa çıkan verinin, McDonald’s İK personelini taklit ederek ve başvuru sahiplerinden hassas finansal bilgiler talep ederek phishing saldırıları yapmak için kullanılabileceğini açıkladılar. Açığa çıkan verilerde hassas olmayan bilgiler bulunsa da, asgari ücretli iş başvuruları olarak bağlamı, başvuru sahipleri için potansiyel zarar riski yarattı.