Mobile-Menu

Millionen Bewerberdaten gefährdet McDonalds AI-Bot mit Passwort „123456“ gehackt

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Peinlicher Fehler bei McDonalds: Sicherheitsforscher konnten sich Zugriff auf das Adminkonto der Bewerbungsplattform von McDonalds verschaffen und so sensible Bewerberdaten einsehen. Dies war mit wenig Aufwand möglich, da sie das Passwort für die Plattform einfach erraten konnten.

Die Datenbank von Paradox.ai, die Plattform, über die McDonalds den KI-Chatbot Olivia für seine Bewerber bereitstellt, war mit einem leicht zu erratenden Passwort gesichert.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Die Datenbank von Paradox.ai, die Plattform, über die McDonalds den KI-Chatbot Olivia für seine Bewerber bereitstellt, war mit einem leicht zu erratenden Passwort gesichert.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Für den Recruiting-Prozess setzt das Fast-Food-Unternehmen McDonalds einen KI-Chatbot namens „Olivia“ ein. Über die Website „McHire“ stellt dort das KI-Softwareunternehmen Paradox.ai seine Lösung bereit. Olivia fragt die Kontaktdaten und Lebensläufe der Bewer­berinnen und Bewerber ab, die gerne bei McDonalds arbeiten möchten, und beantwortet deren Fragen. Wie das Online-Medium Wired nun berichtet, seien auf der Plattform von Paradox simple Sicherheitslücken gefunden worden. Dadurch hätte jeder Cyberkriminelle auf die Auf­zeichnungen aller Chats zugreifen können, die der KI-Bot jemals mit McDonalds-Bewerbern geführt hat – einschließlich der persönlichen Informationen. Dafür sei es nur nötig gewesen, das Passwort „123456“ beim Login eines Administratorenkontos einzugeben.

White Hat Hacker erraten Passwort

Entdeckt haben wollen diesen peinlichen Fehler die Sicherheitsforscher Ian Carroll und Sam Curry. Bei einem unabhängigen Pentest hätten sie das einfache Pass­wort erraten und sich damit Zugang auf das Backend der KI-Chatbot-Plattform auf McHire verschaffen können. Dort hätten sie die Datenbanken von Paradox abgerufen, die die Chats mit dem McDonalds Bot Olivia spei­cher­ten, welche bis zu 64 Millionen Datensätze enthalten hätten. Darunter seien auch Namen, E-Mail-Adressen und Telefonnummern von Bewerbern gewesen. Auf Anfrage von Wire hätten McDonalds und Paradox geantwortet, bald einen Blogbeitrag zu dem Vorfall veröffentlichen zu wollen, der die Ergebnisse der Untersuchung von Carroll und Curry bestätige. Noch am selben Tag sei das Problem behoben worden und Paradox hätte sicher­gestellt, dass außer den Sicher­heits­forschern niemand sonst auf die Datenbanken zugegriffen habe. Darüber hinaus wolle das Unternehmen ein Bug-Bounty-Programm einführen, um Sicherheitslücken künftig schneller aufzudecken.

Gegenüber Wired habe die Chief Legal Officer von Paradox gesagt, das Unternehmen nehme den Vorfall nicht auf die leichte Schulter. Auch McDonalds äußerte sich gegenüber dem Nach­rich­ten­portal und sagte es sei enttäuscht über diese „inakzeptable Sicherheitslücke“ bei dem Drittanbieter. McDonalds nehme seine Verpflichtung zur Cybersicherheit ernst und wolle wei­ter­hin von seinen Drittanbietern verlangen, dass sie die Datenschutzstandards der Kette einhalten.

(ID:50479854)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte