แชตบอทสมัครงานของ McDonald’s ทำข้อมูลหลุด 64 ล้านคน เพราะรหัสผ่าน “123456” ในช่วงต้นปี 2025 ผู้สมัครงานกับ McDonald’s ทั่วโลกอาจไม่รู้เลยว่าข้อมูลส่วนตัวของพวกเขา—ชื่อ เบอร์โทร อีเมล ที่อยู่ และสถานะการจ้างงาน—ถูกเปิดเผยต่อสาธารณะโดยไม่ตั้งใจ เรื่องเริ่มจาก Ian Carroll นักวิจัยด้านความปลอดภัยไซเบอร์ พบช่องโหว่ในระบบของ Paradox.ai ซึ่งเป็นบริษัทที่พัฒนาแชตบอทชื่อ “Olivia” ให้ McDonald’s ใช้สัมภาษณ์งานอัตโนมัติในกว่า 90% ของสาขา Carroll พบว่าหน้าเข้าสู่ระบบของพนักงาน Paradox ยังเปิดให้เข้าถึงได้ และที่น่าตกใจคือ เขาสามารถล็อกอินด้วยชื่อผู้ใช้และรหัสผ่าน “123456” ได้ทันที! จากนั้นเขาเข้าถึงโค้ดของเว็บไซต์ และพบ API ที่สามารถเรียกดูประวัติการสนทนาของผู้สมัครงานได้ทั้งหมด—รวมกว่า 64 ล้านรายการ ข้อมูลที่หลุดออกมานั้นไม่ใช่แค่ข้อความแชต แต่รวมถึง token การยืนยันตัวตน และสถานะการจ้างงานของผู้สมัครด้วย Carroll พยายามแจ้งเตือน Paradox แต่ไม่พบช่องทางรายงานช่องโหว่ด้านความปลอดภัยเลย ต้องส่งอีเมลสุ่มไปยังพนักงาน จนในที่สุด Paradox และ McDonald’s ยืนยันว่าได้แก้ไขปัญหาแล้วในต้นเดือนกรกฎาคม ✅ ข้อมูลจากข่าว - ข้อมูลผู้สมัครงานกว่า 64 ล้านคนถูกเปิดเผยจากระบบของ Paradox.ai - นักวิจัยสามารถล็อกอินด้วยชื่อผู้ใช้และรหัสผ่าน “123456” - เข้าถึง API ที่แสดงประวัติแชตของแชตบอท Olivia ได้ทั้งหมด - ข้อมูลที่หลุดรวมถึงชื่อ เบอร์โทร อีเมล ที่อยู่ token และสถานะการจ้างงาน - Paradox ไม่มีช่องทางรายงานช่องโหว่ด้านความปลอดภัยอย่างเป็นทางการ - McDonald’s และ Paradox ยืนยันว่าแก้ไขปัญหาแล้วในเดือนกรกฎาคม - Olivia ถูกใช้ในกว่า 90% ของสาขา McDonald’s เพื่อสัมภาษณ์งานอัตโนมัติ ‼️ คำเตือนและข้อควรระวัง - การใช้รหัสผ่านง่าย ๆ เช่น “123456” ยังคงเป็นช่องโหว่ร้ายแรงที่พบได้บ่อย - ระบบ AI ที่จัดการข้อมูลส่วนบุคคลต้องมีมาตรการความปลอดภัยที่เข้มงวด - บริษัทที่ไม่มีช่องทางรายงานช่องโหว่ อาจทำให้การแก้ไขล่าช้าและเสี่ยงต่อการโจมตี - ผู้สมัครงานควรระวังการให้ข้อมูลผ่านระบบอัตโนมัติ โดยเฉพาะข้อมูลส่วนตัว - องค์กรควรตรวจสอบระบบ third-party อย่างสม่ำเสมอ และมีการทดสอบความปลอดภัย (penetration test) - การใช้ AI ในงาน HR ต้องมาพร้อมกับ governance และการตรวจสอบจากมนุษย์ https://www.techspot.com/news/108619-mcdonald-ai-hiring-chatbot-exposed-data-64-million.html