McHire es la plataforma de contratación impulsada por IA de McDonald's, creada por Paradox.ai, en la que un chatbot llamado Olivia evalúa e interactúa con los solicitantes de empleo. Según un informe de CSO Online resumido por The Economic Times, los investigadores de seguridad Ian Carroll y Sam Curry la examinaron a finales de junio de 2025 después de que usuarios de Reddit se quejaran de que Olivia daba respuestas extrañas o sin sentido. Notaron una opción de inicio de sesión etiquetada como 'Paradox team members' en la interfaz de administración de McHire y probaron el nombre de usuario y la contraseña predeterminados '123456'. Funcionó.
El inicio de sesión les dio acceso no solo a un entorno de prueba, sino a paneles de administración reales con datos en vivo. Luego encontraron un endpoint de API interno que obtenía registros de solicitantes usando un parámetro predecible, una referencia directa insegura a objetos. A través de él podían ver las transcripciones de chat de los solicitantes con Olivia, nombres, direcciones de correo electrónico, números de teléfono, detalles de la solicitud e incluso tokens que podían usarse para suplantar a un candidato. El informe decía que la exposición podía alcanzar hasta 64 millones de solicitantes de empleo.
Tras la divulgación el 30 de junio, Paradox.ai y McDonald's reconocieron la falla rápidamente. Para el 1 de julio las credenciales predeterminadas estaban deshabilitadas y el endpoint asegurado, y Paradox dijo que realizaría auditorías de seguridad adicionales. Paradox también dijo, según sus registros, que la cuenta de prueba no había sido accedida por nadie más que los investigadores, que ninguna información de candidatos se filtró en línea y que solo se vieron los datos de cinco candidatos.
Se podía llegar a registros de hasta 64 millones de solicitantes; Paradox dice que solo los investigadores vieron los datos de cinco candidatos. No se informa ninguna multa.
Una cuenta de administrador predeterminada con la contraseña '123456' seguía activa y era accesible desde una página de inicio de sesión pública.
La cuenta no estaba limitada a un entorno de prueba: abría paneles reales con datos de solicitantes en vivo.
Un endpoint de API devolvía registros de solicitantes para identificadores predecibles sin comprobar quién los solicitaba.
El chatbot de contratación se desplegó a gran escala con fallas de seguridad elementales, que los analistas citados en el informe vincularon a la prisa por llevar herramientas de IA a producción.
Una interfaz de IA no cambia lo básico: eliminar las cuentas de prueba predeterminadas y comprobar el acceso a nivel de objeto, o la base de datos del chatbot está a una conjetura de distancia.
Las credenciales fueron deshabilitadas y el endpoint asegurado para el 1 de julio de 2025, dentro del día siguiente a la divulgación. Paradox dice que la exposición afectó a una organización y que solo los investigadores vieron los datos. El informe de The Economic Times no menciona ninguna multa ni demanda; los expertos citados advirtieron que los datos podrían alimentar el phishing y la ingeniería social.
CONSULTA LAS PRUEBAS
Las fuentes
- McDonald's in hot water after AI tool with laughably weak password '123456' gets hacked, data of 64M job seekers exposed The Economic Times · economictimes.indiatimes.com ·