麥當勞 McHire 聊天機器人管理員登入使用密碼 123456，暴露求職者資料

McHire 是麥當勞的 AI 驅動招募平台，由 Paradox.ai 打造，其中名為 Olivia 的聊天機器人負責篩選並與求職者互動。根據《經濟時報》摘要的 CSO Online 報導，安全研究人員 Ian Carroll 與 Sam Curry 在 2025 年 6 月下旬著手調查此事，起因是 Reddit 使用者抱怨 Olivia 給出奇怪或毫無意義的回應。他們注意到 McHire 管理介面上有一個標示為「Paradox team members」的登入選項，於是嘗試預設的使用者名稱與密碼「123456」。結果成功登入。

這個登入權限不僅讓他們進入測試環境，還能進入含有即時資料的真實管理儀表板。他們隨後發現一個內部 API 端點，該端點使用可預測的參數來擷取求職者紀錄，屬於不安全的直接物件參照。透過該端點，他們可以查看求職者與 Olivia 的聊天紀錄、姓名、電子郵件地址、電話號碼、申請細節，甚至可用來冒充求職者的權杖。報導指出，此次暴露可能涉及多達 6400 萬名求職者。

在 6 月 30 日揭露後，Paradox.ai 與麥當勞迅速承認此一漏洞。到了 7 月 1 日，預設憑證已被停用，該端點也已受到保護，Paradox 表示將進行進一步的安全稽核。Paradox 亦表示，根據其紀錄，該測試帳號除研究人員外無人存取，沒有任何求職者資訊在網路上外洩，且僅有五名求職者的資訊被查看。

多達 6400 萬名申請者的紀錄可被觸及；Paradox 表示僅有五名求職者的資料被研究人員查看。未見任何罰款報導。

一個密碼為「123456」的預設管理員帳號仍然有效，且可從公開的登入頁面觸及。

該帳號並未僅限於測試環境：它開啟了含有即時求職者資料的真實儀表板。

一個 API 端點會針對可預測的識別碼回傳求職者紀錄，卻未查核請求者是誰。

該招募聊天機器人大規模部署，卻存在基本的安全缺口，報導中引述的分析師將此歸因於倉促將 AI 工具推入正式環境。

AI 前端不會改變基本原則：刪除預設測試帳號並檢查物件層級的存取權限，否則聊天機器人的資料庫只差一次猜測就能被入侵。

這些憑證已於 2025 年 7 月 1 日、即揭露後一天內被停用，該端點也已受到保護。Paradox 表示此次暴露影響一個組織，且僅有研究人員查看過資料。《經濟時報》的報導未提及任何罰款或訴訟；報導中引述的專家警告，這些資料可能助長網路釣魚與社交工程攻擊。