Bu yılın başlarında McDonald's'ta çalışmak için başvuran hemen hemen herkes adını, telefon numarasını, e-posta adresini, fiziksel adresini ve diğer kişisel bilgilerini ifşa etmiş olabilir. Güvenlik araştırmacıları, başvuranların çoğu iş görüşmesini gerçekleştiren üretken yapay zeka sohbet robotuyla etkileşimlerini denetleyen idari sisteme zahmetsizce sızmayı başardı.
Güvenlik araştırmacısı Ian Carroll, McDonald's'ın yapay zeka iş görüşmesi aracını geliştiren şirket olan Paradox.ai'nin yönetici hesabına, hem kullanıcı adı hem de şifre olarak "123456" kullanarak başarıyla giriş yaptı . Sitenin dahili kodunun incelenmesi, sitenin gerçekleştirdiği tüm sohbetlerden ham metne hızlı bir şekilde erişim sağladı.
McDonald's şubelerinin %90'ında iş başvuruları, Olivia adlı Paradox'un yapay zeka sohbet robotu aracılığıyla gerçekleştiriliyor. Yapay zeka, temel kişilik testleri yapmadan önce isimleri, konumları, e-posta adreslerini, telefon numaralarını, vardiya müsaitliğini ve diğer kişisel bilgileri topluyor. İnsan denetçiler, Paradox'un idari hesaplarını kullanarak bu bilgilere erişiyor ve görüntülüyor.
McDonald's'ın işe alım web sitesi kullanıcıları tek oturum açmaya yönlendirmeye çalışsa da Carroll, küçük bir metinde ayrı bir Paradox çalışan oturum açma sayfasına yönlendiren bir bağlantı fark etti. Şaşırtıcı bir şekilde, varsayılan kullanıcı adı ve parolayı kabul ederek sistemin iç işleyişini anında ortaya çıkardı.
Sitenin kodunda bir API keşfeden Carroll, Olivia'nın 64 milyon başvuru sahibine ait sohbet geçmişine erişim sağlayan bir XHR test sohbeti isteğinin ana parametresini düşürdü. Sızıntı, kişisel verilerin yanı sıra kimlik doğrulama belirteçlerini ve istihdam durumundaki değişiklikleri de ortaya çıkarıyor.
Üstelik Carroll, Paradox'u güvenlik ihlali konusunda uyarmaya çalıştığında, bir güvenlik açıklaması iletişim bilgisi bulamadı. Şirketin güvenlik sayfası, çoğunlukla kullanıcıların güvenlik konusunda endişelenmelerine gerek kalmaması gerektiğine dair basit bir güvenceden oluşuyor. Sonunda, araştırmacılar "rastgele kişilere" e-posta gönderdikten sonra, Paradox ve McDonald's sorunu Temmuz ayı başlarında çözdüklerini doğruladı.
Kaynak :
https://www.techspot.com/news/108619-mc ... llion.html
