McHireのセキュリティ欠陥により、デフォルトの管理者認証情報と脆弱なAPIを通じて機密性の高い応募者データへのアクセスが可能になっていました。この問題は公開後、迅速に修正されました。
マクドナルドのAI搭載採用プラットフォーム「McHire」におけるセキュリティの見落としにより、最大6400万人の求職者に関する機密性の高い応募者データが流出していたことが判明しました。
2025年6月下旬、セキュリティ研究者のIan Carroll氏とSam Curry氏によって発見されたこの問題は、デフォルトの管理者ログインと、応募者がMcHireの自動リクルーターボット「Olivia」とやり取りしたチャット履歴にアクセスできる内部APIのIDOR（不適切な直接オブジェクト参照）が原因でした。
「マクドナルドの情報漏洩は、洗練されたAIシステムであっても初歩的なセキュリティの見落としによって危険にさらされることを示しています」とBlack Duckのプロフェッショナルサービスコンサルティング部門シニアマネージャー、Aditi Gupta氏は述べています。「新技術の導入を急ぐあまり、基本的なセキュリティ原則をおろそかにしてはなりません。特に規制が強化されるAI時代においては、ソフトウェアへの信頼を損なわないためにも、組織は基本的なセキュリティ対策を最優先すべきです。」
この脆弱性は、Redditユーザーによるボットの「意味不明な回答」に関する苦情を受けて実施されたセキュリティレビュー中に発見され、マクドナルドおよびParadox.ai（Oliviaの開発元）によって公開後すぐに修正されました。
デフォルトログインとIDORによる大規模な情報漏洩
Carroll氏のブログ記事によると、McHireのレストランフランチャイズ向け管理インターフェースは、デフォルトのユーザー名「123456」とパスワード「123456」を受け付けていました。これらの認証情報でログインすると、テスト環境だけでなく実際の管理ダッシュボードにも即座にアクセスできたとのことです。
「アプリはマクドナルド向けにシングルサインオン（SSO）を強制しようとしますが、『Paradoxチームメンバー向け』という小さなリンクが目に留まりました」とCarroll氏は語ります。「特に深く考えずにパスワードに『123456』を入力したところ、なんと即座にログインできてしまいました！」
ログイン後、研究者らはさらに、予測可能なパラメータを使って応募者データを取得できる内部APIエンドポイントを発見しました。ID値を単純に減らしていくだけで、Carroll氏とCurry氏は応募者のチャット記録、連絡先情報、応募フォームデータなど、完全な個人情報（PII）を取得できました。このIDOR脆弱性により、連絡先情報だけでなく、タイムスタンプ、シフト希望、性格診断結果、さらにはMcHire上で応募者になりすますことができるトークンまで流出していました。
「この事件は、組織が技術の仕組みや信頼できないユーザーによる操作方法を理解せずにテクノロジーを導入した場合に何が起こるかの典型例です」とDesired Effect CEOのEvan Dornbush氏は述べています。「AIシステムが何百万もの機密データを扱う中、組織は事前に脅威を理解し対策するための投資を行わなければ、顧客の信頼を失いながら後手に回ることになるでしょう。」
迅速な修正が事態を救う
2025年6月30日の公開後、Paradox.aiとマクドナルドは1時間以内に脆弱性を認識しました。7月1日までにデフォルト認証情報が無効化され、エンドポイントも保護されました。Paradox.aiは今後さらなるセキュリティ監査も実施すると、Carroll氏はブログで述べています。
「現時点で悪用の痕跡はありませんが、流出した規模と機密性を考えると、標的型フィッシングやスミッシング／ビッシング、さらにはソーシャルエンジニアリング攻撃に利用される可能性があります」とCequence Securityの最高情報セキュリティ責任者、Randolph Barr氏は述べています。「AIツールと組み合わせれば、攻撃者は極めて個別化された巧妙な脅威を作り出すことができるでしょう。」
マクドナルドはCSOからの問い合わせに対し、すぐには回答しませんでした。
Paradoxは後に自社ウェブサイトで経緯を説明し、セキュリティ研究者がレガシーパスワードを使って、あるParadoxクライアントのテストアカウントにログインできたと述べました。
「記録に基づき、このテストアカウントにはセキュリティ研究者以外の第三者によるアクセスはなかったと確信しています」とParadoxのスタッフは記し、「候補者情報がオンラインで漏洩したり、公開されたりしたことは一切ありません。この事件で閲覧されたのは合計5名分の情報のみで、閲覧者はセキュリティ研究者だけでした。影響を受けたのは1つの組織のみで、他のParadoxクライアントには影響はありません」と強調しました。
サイバーセキュリティの不備は採用現場でますます一般的になっており、その背景にはスピード・自動化・規模の拡大を重視するあまり、セキュリティが犠牲になっていることがあると考えられます。今週初めにも、オンライン応募者管理プラットフォームTalentHookが、約2600万件の個人情報ファイルを設定ミスのAzure Blobストレージコンテナ経由で漏洩していたことが判明しました。
ニュースレターを購読する
編集部からあなたの受信箱へ
下記にメールアドレスを入力して購読を開始してください。