La récente fuite de données chez McDonald’s illustre les risques croissants liés à l’usage de l’intelligence artificielle dans les processus de recrutement. Des chercheurs en cybersécurité ont mis au jour une faille critique dans McHire, le chatbot utilisé pour traiter les candidatures. À cause de mots de passe par défaut et d’une API vulnérable, des informations personnelles ont pu être consultées sans autorisation.
Comment l’outil d’embauche a révélé les données
McHire est utilisé par 90 % des franchises McDonald’s pour collecter les candidatures et faire passer des tests de personnalité. Pourtant, les chercheurs ont pu accéder à l’interface d’administration avec les identifiants par défaut “123456:123456”. Cette simple négligence leur a ouvert un accès privilégié à un compte de test.
En explorant davantage le système, ils ont identifié une faille dans l’API du chatbot. Cette faille donnait accès à des années d’historique de candidatures. Si l’IA résistait aux tentatives d’injection de commande, le système back-end, lui, ne protégeait pas l’accès aux données. En 30 minutes, les chercheurs ont vérifié l’authenticité des dossiers en contactant des candidats.
Pourquoi c’est grave
Il ne s’agit pas d’un piratage sophistiqué, mais d’une absence totale d’hygiène de sécurité. Aucun mot de passe fort, pas de restriction API, pas d’authentification à deux facteurs. Des erreurs évitables mais dangereuses. Ce type de négligence est suffisant pour exposer les données personnelles de millions de personnes.
McHire est un produit de Paradox.ai. McDonald’s affirme avoir corrigé rapidement la faille et n’avoir détecté aucun abus malveillant. Mais cette affaire rappelle que toute IA utilisée dans un contexte sensible doit être sécurisée avec rigueur.
Comment protéger vos données après une fuite
Même si aucun acte malveillant n’a été observé, vos données peuvent être en danger. Voici les réflexes à adopter :
-
Suivez les recommandations officielles du fournisseur
-
Modifiez votre mot de passe avec une version robuste et unique
-
Activez la double authentification, de préférence avec un appareil FIDO2
-
Méfiez-vous des usurpateurs d’identité ou faux vendeurs
-
Soyez vigilant face aux messages d’urgence type phishing
-
Évitez d’enregistrer vos cartes bancaires sur les sites web
-
Activez une surveillance d’identité pour détecter toute utilisation illicite
Ce que les entreprises doivent retenir
Les entreprises qui intègrent l’IA dans leurs processus internes doivent prendre la cybersécurité au sérieux. Cela inclut :
-
Des audits réguliers de sécurité
-
L’interdiction des identifiants par défaut
-
L’activation du MFA sur les interfaces critiques
-
La surveillance des API exposées
-
La validation des prestataires tiers
Chez ZENDATA, nos services en cybersécurité accompagnent les entreprises dans la sécurisation de leurs infrastructures, y compris les IA et systèmes d’API. De l’audit à la détection temps réel, nous garantissons une protection complète.
Conclusion
Chez McDonald’s, la fuite n’est pas le résultat d’un piratage complexe, mais d’une négligence basique. Si l’IA est appelée à gérer des tâches critiques, elle doit l’être dans un cadre sécurisé. À défaut, ce sont les données et la réputation qui en paient le prix.
Lisez l’article complet dans Malwarebytes ici.
