Sistema de contratação por IA do McDonald’s foi invadido com a senha “123456”: Mas Nenhum Dado de Candidato Foi Vazado

Pesquisadores de segurança descobriram uma vulnerabilidade na plataforma de contratação por IA do McDonald’s, o McHire, mas nenhum dado de candidato foi vazado ou acessado por agentes mal-intencionados, segundo a empresa e sua fornecedora, a Paradox.ai.

Em 30 de junho, os especialistas em cibersegurança Ian Carroll e Sam Curry identificaram o problema durante uma exploração da plataforma McHire, que utiliza o chatbot de IA “Olivia” para auxiliar nas candidaturas a vagas em 90% das franquias do McDonald’s no mundo todo. Os pesquisadores conseguiram acessar dados internos usando uma conta de teste com credenciais fracas — “123456”.

No entanto, ao contrário dos relatos iniciais, apenas cinco registros de candidatos dos EUA foram visualizados — e exclusivamente pelos pesquisadores. Os dados acessados envolviam registros de conversas, e não perfis completos dos candidatos, e nenhuma informação pessoal sensível foi exposta. Não há evidências de que qualquer dado tenha sido vazado online ou acessado por criminosos virtuais.

“Queremos deixar muito claro que os candidatos a vagas não foram afetados, e os campos de dados sensíveis permanecem protegidos no sistema”, disse a Paradox.ai em comunicado. “Este incidente impactou apenas uma organização, e nenhum outro cliente da Paradox foi afetado.”

Os pesquisadores relataram a vulnerabilidade à Paradox.ai, que resolveu o problema em poucas horas, no mesmo dia. A empresa reconheceu a falha e destacou seu compromisso com melhorias na segurança, incluindo o lançamento de um programa de recompensa por bugs para identificar vulnerabilidades semelhantes no futuro.

O McDonald’s Austrália confirmou que estava ciente da situação e enfatizou que a vulnerabilidade foi rapidamente corrigida pelo fornecedor terceirizado. “Estamos decepcionados com essa vulnerabilidade inaceitável de um fornecedor externo. Assim que soubemos do problema, exigimos que a Paradox.ai o corrigisse imediatamente”, disse um porta-voz.

Embora a vulnerabilidade tenha levantado preocupações sobre a segurança dos sistemas de contratação por IA, especialistas ressaltam que este caso se destaca por não ter resultado em um vazamento real ou exposição pública de dados — algo raro em incidentes de cibersegurança.

“Assumimos total responsabilidade”, afirmou Stephanie King, Diretora Jurídica da Paradox.ai. “Não levamos esse assunto de forma leviana, mesmo tendo sido resolvido de maneira rápida e eficaz.”

O incidente ocorreu enquanto mais empresas adotam IA para contratação. Sistemas similares são usados por varejistas australianos Bunnings e Woolworths, levantando questões sobre segurança em plataformas automatizadas de recrutamento.

Paradox.ai anunciou programa de recompensa por bugs para capturar vulnerabilidades futuras. A empresa enfatizou que pesquisadores acessaram apenas sete registros totais, com cinco contendo informação pessoal.

Especialistas em segurança alertam que a brecha demonstra como adoção apressada de IA frequentemente negligencia medidas básicas de cibersegurança. A falha envolveu erros elementares como senhas padrão e controles de acesso ausentes que nunca deveriam ocorrer em sistemas lidando com dados sensíveis.