top of page
Rechercher

McDonald’s frappé par une faille IA : 64 millions de candidatures exposées

  • Photo du rédacteur: ARKTechNews
    ARKTechNews
  • 16 juil.
  • 3 min de lecture

Un mot de passe anodin provoque une brèche majeure

Fin juin 2025, deux chercheurs en cybersécurité ont découvert qu’un compte test inactif depuis 2019, utilisé dans McHire (le chatbot « Olivia » de McDonald’s géré par Paradox.ai), était accessible avec les identifiants « admin / 123456 ». En moins de 30 minutes, ils ont pu accéder au back-end et récupérer des données personnelles (noms, emails, numéros de téléphone et historiques de conversations) concernant potentiellement 64 millions de candidats.

McDonald’s frappé par une faille IA : 64 millions de candidatures exposées

Une faille supplémentaire, de type IDOR (Insecure Direct Object Reference), permettait de naviguer entre les profils simplement en modifiant l’ID de la requête API. Ce laxisme en matière de sécurité a rendu cet accès non seulement possible, mais extrêmement simple, révélant l’absence totale de protections élémentaires telles que l’authentification multi-facteurs ou les verrous après tentative infructueuse.


Une exposition aux données anciennes et sensibles

Paradox.ai reconnaît que les données consultées incluaient des réponses psychotechniques et des extraits vocaux. Bien que les chercheurs n’aient exploré qu’une poignée de dossiers (sept selon leurs déclarations), ils ont mis en évidence la monumentalité de la fuite potentielle. Si un acteur malveillant avait agi plus tôt, les conséquences auraient été bien plus graves.


Réaction rapide mais risques durables

En moins de 24 heures, Paradox.ai et McDonald’s ont neutralisé la faille : suppression du compte vulnérable, sécurisation de l’API, et activation d’un programme de bug bounty. Aucune exploitation abusive n’a été détectée jusqu’à présent, mais l’incident rappelle qu’un simple mot de passe faible peut mettre en péril tout un système complexe, surtout lorsque cette faille touche des données personnelles et vocales.


Enjeux pour la sécurité et la confiance publique

Cet incident illustre la vulnérabilité des systèmes IA intégrés aux ressources humaines. Il révèle un danger plus subtil qu’une attaque informatique classique : celui d’un oubli humain élémentaire pouvant conduire à une fuite massive de données. Les risques vont de l’usurpation d’identité au phishing ciblé, en passant par la perte de confiance envers les plateformes d’emploi utilisant l’intelligence artificielle.


Conséquences légales et réputationnelles

Sur le plan réglementaire, même sans exploitation massive, l’exposition de données personnelles sensibles pourrait déclencher des actions judiciaires ou des sanctions, notamment dans plusieurs pays où règne un cadre strict sur la confidentialité. Côté image, l’incident fragilise la confiance envers McDonald’s et Paradox.ai, et met en lumière les failles parfois graves dans les déploiements IA vulnérables.


Conclusion

Un mot de passe faible a compromis un système d’IA sophistiqué utilisé pour le recrutement, illustrant qu’aucune technologie, même intelligente, n’est à l’abri d’une faille élémentaire. Cet incident souligne l’impérieuse nécessité d’appliquer les meilleures pratiques de sécurité dès le déploiement, incluant des contrôles d’accès rigoureux, des audits réguliers et une gestion des comptes de test. McDonald’s et Paradox.ai ont réagi promptement, mais cet avertissement devrait servir de leçon pour toutes les entreprises qui intègrent l’IA à leur chaîne de recrutement.



Sources :

bottom of page