McDonald's lekt persoonlijke gegevens van 64 miljoen sollicitanten
McDonald's heeft via een 'chatbot recruitment platform' de persoonlijke gegevens van meer dan 64 miljoen sollicitanten gelekt. Het ging om naam, e-mailadres, telefoonnummer en adresgegevens, alsmede de status van de sollicitatie en een token om als de betreffende sollicitant in te kunnen loggen en zo toegang tot chatberichten en mogelijke andere informatie te krijgen. Dat ontdekten beveiligingsonderzoekers Ian Carroll en Sam Curry.
Voor het sollicitatieproces maakt McDonald's gebruik van McHire, een platform waar potentiële werknemers met een chatbot genaamd Olivia kunnen praten. De chatbot verzamelt persoonlijke informatie, shiftvoorkeuren en voert persoonlijkheidstests uit. Het platform is ontwikkeld door het bedrijf Paradox.ai. Carroll en Curry ontdekten dat ze via gebruikersnaam 123456 en wachtwoord123456 op de admin-interface van het platform konden inloggen.
Via deze inloggegevens, bedoeld voor medewerkers van Paradox.ai, konden ze inloggen als eigenaar van een test restaurant. Alle medewerkers van dit restaurant waren medewerkers van Paradox.ai. Verder onderzoek vanuit deze omgeving leidde naar een application programming interface (API) die kwetsbaar was voor IDOR. IDOR staat voor Insecure Direct Object Reference (IDOR) en doet zich bijvoorbeeld voor wanneer een webapplicatie of API een identifier gebruikt om een object in een database op te vragen zonder authenticatie of andere vorm van toegangscontrole.
Een gebruiker kan zo door het aanpassen van bepaalde data toegang tot de gegevens van andere gebruikers krijgen. Ondanks de eenvoud van IDOR-kwetsbaarheden komen die nog altijd geregeld voor. Het probleem is daarnaast al decennia bekend. In dit geval bleek dat het eenvoudigweg aanpassen van het 'lead_id' van de chat voldoende was om data van andere sollicitanten te achterhalen. Het bleek om de persoonlijke gegevens van meer dan 64 miljoen sollicitanten te gaan. McDonald's en Paradox.ai werden op 30 juni ingelicht. Dezelfde dag kon er niet meer met de inloggegevens worden ingelogd en een dag later was het IDOR-probleem verholpen.
https://www.foxnews.com/politics/trump-makes-fries-pennsylvania-mcdonalds-ive-now-worked-15-minutes-more-than-kamala
Voldoen ze eigenlijk wel aan de avg wetgeving vraag ik mij dan af?
Een gegevens lek van deze omvang is nooit leuk vooral als je als slachtoffer nu in een data set zit en dagelijks door nep bankmedewerkers gebelt gaat worden of ze allerlei andere scams op jou persoon uit proberen te halen
https://www.foxnews.com/politics/trump-makes-fries-pennsylvania-mcdonalds-ive-now-worked-15-minutes-more-than-kamala
Volgens mij is het bekend waar hij op dit moment woont en werkt.
Voldoen ze eigenlijk wel aan de avg wetgeving vraag ik mij dan af?
Een gegevens lek van deze omvang is nooit leuk vooral als je als slachtoffer nu in een data set zit en dagelijks door nep bankmedewerkers gebelt gaat worden of ze allerlei andere scams op jou persoon uit proberen te halen
Mchire is in 2019 gelanceerd,
Is de standaard voor gegevensbewaring niet 7 jaar? Dan zou dit namelijk kunnen kloppen.
Als deze site niet in de EU wordt gebruikt, dan maakt de AVG niet uit. Zover ik kan zien gebruiken ze de McHire site niet in Nederland
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?