I ricercatori nel campo della sicurezza sono riusciti ad accedere alla piattaforma HR McHire della catena di fast food McDonald’s utilizzando la password „123456“. In questo modo sono stati resi accessibili fino a 64 milioni di record. McDonald’s attribuisce la responsabilità al fornitore di servizi incaricato. Tuttavia, se fosse stata condotta una due diligence adeguata, questa fuga di dati presso McDonald’s non si sarebbe verificata. A cosa dovrebbero prestare attenzione le aziende e in che modo Ailance aiuta a evitare tali rischi.
Come è potuta verificarsi la fuga di dati presso McDonald’s?
Negli Stati Uniti, McDonald’s utilizza un chatbot basato sull’intelligenza artificiale chiamato Olivia per le procedure di selezione del personale sulla propria piattaforma McHire.com. Olivia raccoglie, tra le altre cose, informazioni di contatto e curriculum vitae e gestisce anche i test di personalità prima di invitare i candidati ai colloqui di persona. Il portale dedicato alle risorse umane è gestito dal fornitore di servizi Paradox.ai, che ha anche sviluppato Olivia.
I ricercatori nel campo della sicurezza hanno esaminato più da vicino il chatbot e il sito McHire.com. Inizialmente, gli esperti di sicurezza hanno cercato di accedere a McHire.com fingendo di essere un ristorante McDonald’s. Nel farlo, hanno scoperto la possibilità di effettuare l’accesso come dipendenti di Paradox. Come si è poi scoperto, proprio questo rappresentava una grave vulnerabilità. Infatti, un account amministratore obsoleto era accessibile pubblicamente con la password „123456“ (identica sia per il nome utente che per la password) senza alcuna ulteriore autenticazione a due fattori. Attraverso questo accesso, i ricercatori di sicurezza sono riusciti con poco sforzo ad accedere a dati sensibili Dati del richiedente accedere. Tramite l'API era possibile recuperare fino a 64 milioni di record.
La piattaforma elabora una serie di dati personali, tra cui
- Nome e cognome
- Numero di telefono
- Indirizzo e-mail
- Stato della domanda
- Risultati dell'analisi della personalità
- Cronologie complete delle chat con Olivia
- Eventuali allegati salvati (ad es. curriculum, certificati)
Sebbene i ricercatori abbiano effettivamente esaminato e verificato solo cinque set di dati reali, il danno potenziale era enorme. Soprattutto in considerazione di possibili Phishing-scenari o furto d'identità.
Paradox ha immediatamente risolto la vulnerabilità dopo che i ricercatori di sicurezza ne hanno informato l’azienda. In un post sul blog, Paradox spiega come si sia potuta verificare la fuga di dati presso McDonald’s: l’accesso “123456” era stato creato a scopo di test e avrebbe dovuto essere rimosso già anni fa.
Suggerimento per il collegamento: Dichiarazione di Paradox sull'incidente di sicurezza di McHire.com
Perché monitorare i fornitori di servizi è essenziale: due diligence e monitoraggio
Lo dimostra la fuga di dati di McDonald's: L'uso dei sistemi di intelligenza artificiale nelle risorse umane è particolarmente critico. I dati delle candidature sono tra le informazioni più sensibili in assoluto. Se la sua protezione viene trascurata, anche la tecnologia più moderna non sarà d'aiuto. Soprattutto nel contesto dell'IA, la "privacy by design", in conformità all'art. 25 del Codice Civile, deve essere garantita. GDPR deve essere implementato, cioè Protezione dei dati attraverso la progettazione di tecnologie e impostazioni predefinite rispettose della protezione dei dati. Anche temi come la governance dell'IA, ad esempio attraverso la norma ISO/IEC 42001 o la legge europea sull'IA, sono sempre più al centro dell'attenzione.
Un sistema complesso come McHire, dotato di supporto IA e interfacce API, richiede un monitoraggio costante – non solo in fase di selezione. Persone responsabili devono quindi:
- Due diligence iniziale eseguire
Verifica degli standard di sicurezza, delle linee guida relative alle password, dell'autenticazione a più fattori (MFA) e della governance IT in generale. - Istituire un monitoraggio regolare
Garantire audit periodici, verifiche tecniche e controlli dei certificati. - Documentare le garanzie contrattuali e tecniche
Così che Persone responsabili non trovarci completamente impreparati di fronte a violazioni della privacy come questa.
Come Ailance di 2B Advice aiuta a evitare questi rischi
Con Ailance – Integrated Risk Management è possibile organizzare il monitoraggio e la gestione dei fornitori di servizi in modo sistematico, conforme alla normativa e tracciabile:
- Due diligence digitale
Questionari strutturati, valutazione dei rischi configurabile, liste di controllo per la sicurezza – digitali, scalabili e GDPR-conforme. - Monitoraggio continuo
Nuovi audit, promemoria automatici, monitoraggio dei certificati e degli incidenti di sicurezza con meccanismi di allerta precoce. - Senza lacune Documentazione
Audit-Percorsi e registrazione sistematica di tutte le verifiche e le misure adottate – ideale per l’audit interno e i controlli esterni. - Classificazione del rischio e escalation
I fornitori di servizi vengono automaticamente classificati in livelli di rischio. Casi critici come quello qui descritto comporterebbero immediatamente un’escalation in Ailance, con l’attivazione di flussi di lavoro predefiniti.
Consigli pratici: cosa potete fare subito
✅ Attivare l'autenticazione a più fattori per tutti gli account con privilegi
✅ Verificare regolarmente la presenza di vulnerabilità negli accessi alle API (IDOR, problemi di autenticazione, ecc.)
✅ Verificare che i contratti con i fornitori di servizi di IA rispettino i requisiti del “Privacy by Design”
✅ Utilizzare Ailance per gestire in modo strutturato la due diligence e il monitoraggio
Dopo la fuga di dati da McDonald’s: l’intelligenza artificiale richiede più controllo, non meno
Il caso McHire, che ha visto protagonista la chatbot Olivia basata sull’intelligenza artificiale, mette in evidenza che l’IA può rendere i processi più efficienti, ma comporta anche un enorme potenziale di abuso. Le aziende che puntano su strumenti moderni devono valutare attivamente i propri fornitori di servizi e monitorarli costantemente.
Ailance da 2B Advice offre la piattaforma ideale a tal fine. Con una corretta due diligence potrete evitare che una singola password debole metta a rischio milioni di dati sensibili.
Siete curiosi?
Scoprite come Ailance rende più professionale la gestione dei vostri fornitori di servizi. Fissate subito un appuntamento per una demo personalizzata.
German 
English 
Italian 
French