Des chercheurs en sécurité ont réussi à accéder à la plateforme RH McHire de l'entreprise de restauration rapide McDonald's en utilisant le mot de passe "123456". Jusqu'à 64 millions de données étaient ainsi accessibles. McDonald's rejette certes la responsabilité sur le prestataire de services mandaté. Toutefois, une due diligence bien menée aurait permis d'éviter cette fuite de données chez McDonald's. Ce à quoi les entreprises devraient faire attention et comment Ailance aide à éviter de tels risques.
Comment la fuite de données chez McDonald's a-t-elle pu se produire ?
Aux États-Unis, McDonald's utilise un chatbot d'intelligence artificielle appelé Olivia pour les procédures de candidature sur sa plate-forme McHire.com. Olivia collecte entre autres des informations de contact et des CV et pilote également des tests de personnalité avant l'invitation à des entretiens personnels. Le portail RH est géré par le prestataire de services Paradox.ai, qui a également développé Olivia.
Des chercheurs en sécurité ont examiné de plus près le chatbot et le site McHire.com. Dans un premier temps, les experts en sécurité ont essayé d'accéder à McHire.com en tant que filiale de McDonald's. Ils ont alors découvert la possibilité de se connecter en tant qu'employé de Paradox. Il s'est avéré qu'il s'agissait là d'une grave faille. En effet, un accès admin obsolète était accessible au public avec le mot de passe "123456" (identique pour le nom d'utilisateur et le mot de passe) sans autre authentification à deux facteurs. Grâce à cet accès, les chercheurs en sécurité ont pu accéder à peu de frais à des données sensibles. Données du candidat accéder aux données. Jusqu'à 64 millions d'enregistrements ont pu être consultés via l'API.
La plate-forme traite un grand nombre de données à caractère personnel, notamment
- Prénom et nom de famille
- Numéro de téléphone
- Adresse électronique
- Statut de la candidature
- Résultats de l'analyse de la personnalité
- Historique complet des discussions avec Olivia
- Annexes éventuellement enregistrées (par ex. CV, diplômes)
Même si seuls cinq jeux de données réels ont été effectivement consultés et vérifiés par les chercheurs, le préjudice potentiel était énorme. Notamment en ce qui concerne d'éventuels scénarios de phishing ou d'usurpation d'identité.
Paradox a immédiatement corrigé la faille de sécurité après que les chercheurs en sécurité en ont informé l'entreprise. Dans un article de blog, Paradox explique comment la fuite de données chez McDonald's a pu se produire : L'accès "123456" a été mis en place à des fins de test et aurait dû être supprimé il y a plusieurs années déjà.
Conseil de lien : Déclaration de Paradox sur l'incident de sécurité chez McHire.com
Pourquoi le contrôle des prestataires de services est indispensable : diligence raisonnable et surveillance
La fuite de données chez McDonald's le montre : L'utilisation de systèmes d'IA dans le domaine des RH est particulièrement critique. Les données de candidature font partie des informations les plus sensibles. Si leur protection est négligée, même la technologie la plus moderne ne sert à rien. C'est justement dans le contexte de l'IA que le "Privacy by Design" devrait être appliqué conformément à l'article 25 de la loi sur la protection des données. RGPD être impérativement mis en œuvre - c'est-à-dire Protection des données par la conception technique et les paramètres par défaut respectueux de la vie privée. De même, des thèmes tels que la gouvernance de l'IA, par exemple par le biais de la norme ISO/IEC 42001 ou du EU AI Act, font l'objet d'une attention croissante.
Un système complexe comme McHire, avec le soutien de l'IA et les accès aux API, nécessite un contrôle continu - et pas seulement une fois lors de la sélection. Responsable doivent donc
- Due diligence initiale effectuer
Examen des normes de sécurité, des politiques de mot de passe, de la MFA et de la gouvernance informatique générale. - Mettre en place un suivi régulier
Assurer des audits répétés, des contrôles techniques et des contrôles de certificats. - Documenter les garanties contractuelles et techniques
Avec cela, Responsable ne pas être totalement pris au dépourvu en cas de panne de protection des données comme celle-ci.
Comment Ailance de 2B Advice aide à éviter de tels risques
Avec Ailance - Integrated Risk Management, la surveillance et le contrôle des prestataires de services peuvent être organisés de manière systématique, conforme au droit et compréhensible :
- Due diligence numérique
Questionnaires structurés, évaluation des risques configurable, listes de contrôle de sécurité - numériques, évolutifs et conformes au RGPD. - Suivi continu
Re-audits, rappels automatiques, surveillance des certificats et des incidents de sécurité avec des mécanismes d'alerte précoce. - sans faille Documentation
Pistes d'audit et enregistrement systématique de tous les contrôles et mesures - idéal pour l'audit interne et les contrôles externes. - Classification des risques & escalade
Les prestataires de services sont automatiquement classés par niveau de risque. Les cas critiques comme celui décrit ici entraîneraient immédiatement une escalade dans Ailance - y compris des workflows définis.
Des conseils pratiques : Ce que vous pouvez faire immédiatement
✅ Activer l'authentification multi-facteurs pour tous les comptes privilégiés
✅ Contrôler régulièrement les accès à l'API pour détecter les points faibles (IDOR, problèmes d'authentification, etc.)
✅ Vérifier les contrats avec les fournisseurs de services d'IA pour les exigences de privacy-by-design
✅ Utiliser Ailance pour représenter la due diligence et le suivi de manière structurée
Après la fuite de données chez McDonald's, l'IA nécessite plus de surveillance - pas moins
L'affaire McHire avec le chatbot d'IA Olivia montre clairement que l'IA peut rendre les processus plus efficaces, mais qu'elle peut aussi entraîner un potentiel d'abus massif. Les entreprises qui misent sur des outils modernes doivent contrôler activement leurs prestataires de services et les surveiller en permanence.
Ailance de 2B Advice offre la plateforme adéquate à cet effet. Avec une diligence raisonnable adéquate, vous évitez qu'un seul mot de passe faible ne mette en danger des millions de données sensibles.
Vous êtes curieux ?
Laissez-nous vous montrer comment Ailance professionnalise la surveillance de vos prestataires de services. Prenez directement rendez-vous pour une démo personnelle.
German 
English 
Italian 
French