McDonald’s expone datos de 64 millones de candidatos por contraseña insegura

Un chatbot de IA con la clave ‘123456’ dejó al descubierto información personal de solicitantes. La vulnerabilidad en el sistema McHire, usado para reclutamiento en EEUU, fue detectada por expertos en ciberseguridad. Paradox.ai, desarrollador de la plataforma, asegura que solo afectó a una cuenta de prueba inactiva.

«Olivia», el chatbot que seleccionaba empleados sin supervisión

McDonald’s utilizaba el sistema McHire, creado por Paradox.ai, para automatizar contrataciones mediante el chatbot Olivia. Este recopilaba datos personales, preferencias laborales y resultados de tests de personalidad de los candidatos. «Todo el proceso se hacía sin intervención humana», destaca el informe.

El descubrimiento accidental

Los investigadores Ian Carroll y Sam Curry hallaron la falla al probar la contraseña por defecto ‘123456’. «Nos convertimos en administradores de un restaurante de prueba y accedimos a 64 millones de registros», explicaron. Podían modificar conversaciones y procesos de selección en curso.

La respuesta: culpas cruzadas y parches urgentes

Paradox.ai atribuyó el error a una cuenta de prueba olvidada desde 2019. McDonald’s responsabilizó al proveedor, calificando la vulnerabilidad como «inaceptable». La plataforma implementó un programa de recompensas por fallos para evitar nuevos incidentes.

Riesgo laboral y digital

Los candidatos expuestos eran personas en búsqueda activa de empleo, lo que incrementaba el riesgo de phishing. «El contexto laboral hace estos datos especialmente atractivos para ciberdelincuentes», advirtieron los expertos.

Cuando la IA necesita vigilancia humana

El caso evidencia que la automatización de procesos críticos exige protocolos de seguridad robustos. Aunque la IA agiliza el reclutamiento, su implementación descuidada puede convertirla en un vector de riesgo.

Un fallo con sello de fábrica

McHire formaba parte de la estrategia de McDonald’s para modernizar contrataciones masivas en EEUU. Sistemas similares se expandieron globalmente en la última década, pero este incidente revela debilidades en la gestión de credenciales por parte de proveedores tecnológicos.

Lección aprendida (a golpe de titular)

El episodio subraya que la ciberseguridad no puede ser una ocurrencia tardía, incluso en herramientas de IA. Paradox.ai y McDonald’s cerraron la brecha, pero el impacto en la confianza de los candidatos persiste.