اكتشف الباحثون الأمنيون نقاط الضعف الصارخة في “MCHIRE” AI chatbot المستخدمة من قبل ماكدونالدز لتوظيف العمال ، وربما تعرض المعلومات الشخصية لحوالي 64 مليون من المتقدمين في الوظائف.
ذكرت أجهزة توم أن باحثو الأمن إيان كارول وسام كاري اكتشفوا عيوبًا حرجة في MCHIRE chatbot ، التي طورتها Paradox.ai لماكدونالدز ، والتي كان من الممكن استغلالها للوصول إلى بيانات حساسة لملايين المتقدمين في الوظائف. وبحسب ما ورد يستخدم chatbot ، المعروف باسم أوليفيا ، 90 في المائة من امتيازات ماكدونالدز في الولايات المتحدة لتبسيط عمليات التوظيف الخاصة بهم.
ظهرت الضعف الأول عندما خمن الباحثون كلمة المرور التي استخدمها أعضاء فريق Paradox بنجاح للوصول إلى MCHIRE: “123456”. سمحت كلمة المرور الضعيفة هذه Carroll و Curry بالوصول إلى المسؤول إلى مطعم اختبار داخل نظام MCHIRE. في حين أن هذا الوصول الأولي لم يكشف عن موظفي paradox.ai فقط ، فقد قدم رؤى قيمة في أعمال التطبيق.
ومع ذلك ، ظهر القلق الحقيقي مع اكتشاف الضعف الثاني. مكّن عيب الكائن المباشر غير الآمن (IDOR) في واجهة برمجة تطبيقات MCHIRE الباحثين من الوصول إلى ثروة من المعلومات الشخصية من كل تفاعل الدردشة التي تشمل الأفراد الذين تقدموا بطلب للحصول على وظيفة في ماكدونالدز. تضمنت هذه البيانات المكشوفة أسماء وعناوين البريد الإلكتروني وأرقام الهواتف والعناوين وحالات الترشيح ومدخلات النماذج مثل التحولات المفضلة ، وحتى الرموز المميزة للمصادقة التي يمكن استخدامها لتسجيل الدخول إلى واجهة المستخدم المستهلك وعرض رسائل الدردشة الخام.
حجم خرق البيانات المحتمل مذهل ، بالنظر إلى أن Paradox سبق أن وصف MCHIRE بنسبة 90 في المائة من امتيازات ماكدونالدز. مع تفاخر ماكدونالدز بحد أقصى السوق البالغ 213 مليار دولار ، جمعت المفارقة 200 مليون دولار في عام 2020 ، فإن استخدام كلمة المرور الضعيفة ووجود عيب Idor يثير أسئلة خطيرة حول التزام الشركات بأمان البيانات.
لحسن الحظ ، أبلغت Carroll and Curry عن نقاط الضعف في المفارقة ، وتناولت الشركة المشكلات في غضون يوم من الإفصاح. ومع ذلك ، فإن الحادث بمثابة تذكير صارخ بأهمية تنفيذ تدابير أمنية قوية ، خاصة عند التعامل مع المعلومات الشخصية الحساسة.
يعد التعرض للبيانات الشخصية التي تنتمي إلى ملايين المتقدمين في الوظائف مصدر قلق كبير ، حيث يمكن أن يؤدي إلى سرقة الهوية أو محاولات التصيد أو غيرها من الأنشطة الضارة. من الأهمية بمكان بالنسبة للشركات ، وخاصة تلك التي تتعامل مع كميات هائلة من بيانات المستخدم ، تحديد أولويات الأمان واعتماد سياسات كلمة مرور صارمة وممارسات الترميز الآمنة.
اقرأ المزيد في أجهزة توم هنا.
Lucas Nolan هو مراسل لـ Breitbart News الذي يغطي قضايا حرية التعبير والرقابة عبر الإنترنت.
