Redazione RHC : 12 Luglio 2025 09:34
I noti esperti di sicurezza informatica e cacciatori di bug Sam Curry e Ian Carroll hanno scoperto che il chatbot Olivia, utilizzato da McDonald’s per assumere dipendenti, rivelava i dati dei candidati. In totale, il database conteneva oltre 64 milioni di record.
I ricercatori hanno iniziato a interessarsi a quanto stava accadendo dopo aver letto numerose lamentele da parte degli utenti di Reddit riguardo alle risposte “inadeguate” di Olivia. Olivia è un’applicazione di Paradox.ai, un’azienda che sviluppa software di intelligenza artificiale. Il bot viene utilizzato da McDonald’s per selezionare i candidati, richiedere le loro informazioni di contatto e i loro curriculum e indirizzarli ai test.
A volte l’intelligenza artificiale fraintende anche le domande più semplici, ed è per questo che è diventata “famosa” sui social media. “Ho pensato che fosse piuttosto unico e distopico rispetto al tipico processo di assunzione, quindi ho voluto approfondire l’argomento”, racconta Carroll. “Ho iniziato a candidarmi per un lavoro e nel giro di 30 minuti avevamo accesso completo a quasi tutte le candidature inviate a McDonald’s nel corso degli anni”.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Inizialmente, gli esperti volevano testare Olivia per verificarne la vulnerabilità alle iniezioni di prompt, ma non hanno trovato nulla di interessante. Hanno quindi deciso di verificare cosa sarebbe successo se si fossero registrati come affiliati McDonald’s, tentando di accedere al backend del sito. Invece, gli esperti hanno trovato un curioso link di accesso per i dipendenti di Paradox.ai su McHire.com.
Carroll scrive di aver provato inizialmente due delle combinazioni all’interno di una URL che presentava un bug IDOR (acronimo di Insecure Direct Object Reference, oggi Broken Access Control nella TOP10 Owasp): prima hanno provato “admin/admin” e poi “123456/123456”. La seconda di queste due combinazioni ha funzionato. “Questo è più comune di quanto si possa pensare”, osserva il ricercatore. “Si scopre anche che la pagina di login di Paradox.ai non supporta l’autenticazione a più fattori.”
Utilizzando queste credenziali, Carroll e Curry hanno ottenuto l’accesso amministrativo a un ristorante di prova McDonald’s su McHire e hanno scoperto che tutti i dipendenti lì elencati erano sviluppatori Paradox.ai provenienti dal Vietnam. Trovarono anche un link a presunte offerte di lavoro di prova per questo McDonald’s inesistente, cliccarono su una di queste, si candidarono e visualizzarono la propria candidatura nel sistema back-end, a cui ora avevano accesso. Poi Carroll e Curry hanno scoperto la seconda vulnerabilità critica in McHire. Dopo aver provato a modificare l’ID della loro candidatura (un numero che superava i 64 milioni), si resero conto che avrebbero potuto semplicemente ridurlo e ottenere l’accesso ai dati e alle informazioni di contatto di altri candidati (inclusi nomi, indirizzi email e numeri di telefono).
I ricercatori erano titubanti nel presentare una richiesta di accesso di massa ai registri, temendo violazioni della privacy e accuse di hacking. Tuttavia, hanno controllato diversi documenti d’identità e ottenuto dati reali da persone reali. Gli esperti osservano che le informazioni personali esposte a seguito di questi problemi non erano tra le più sensibili. Tuttavia, i rischi per i candidati erano aumentati dal fatto che i dati erano direttamente correlati a informazioni sul loro lavoro presso McDonald’s o sulla loro intenzione di lavorare lì.
“Se qualcuno dovesse usare questa cosa, i rischi di phishing sarebbero molto alti”, spiega Curry. “Non si tratta solo di informazioni personali e curriculum. Si tratta di informazioni su persone che cercano lavoro da McDonald’s o che ci lavorano, persone che attendono con ansia le email. Ad esempio, se si cercasse di mettere in atto una sorta di frode sulle buste paga, questa sarebbe un’ottima opzione”.
I rappresentanti di Paradox.ai hanno pubblicato una dichiarazione ufficiale sul loro blog, affermando che l’account di prova con la password “123456” a cui gli esperti hanno avuto accesso non era stato utilizzato dal 2019 e avrebbe dovuto essere disattivato molto tempo fa. Si sottolinea che nessuno, a parte Curry e Carroll, ha sfruttato questa vulnerabilità e non ha ottenuto l’accesso ai dati dei candidati. I ricercatori hanno inoltre avuto accesso solo a sette record, cinque dei quali contenevano effettivamente informazioni personali di persone che interagivano con il sito di McHire.
L’azienda ha aggiunto che lancerà un programma bug bounty per identificare meglio le vulnerabilità nei suoi sistemi in futuro. A loro volta, i rappresentanti di McDonald’s hanno dichiarato a Wired che la colpa di quanto accaduto ricade interamente su Paradox.ai.
RedazioneLa campagna su larga scala TamperedChef sta nuovamente attirando l’attenzione degli specialisti, poiché gli aggressori continuano a distribuire malware tramite falsi programmi di installazione di a...
Una vulnerabilità di tipo authentication bypass è stata individuata in Azure Bastion (scoperta da RHC grazie al monitoraggio costante delle CVE critiche presente sul nostro portale), il servizio g...
Microsoft ha reso nota una vulnerabilità critica in SharePoint Online (scoperta da RHC grazie al monitoraggio costante delle CVE critiche presente sul nostro portale), identificata come CVE-2025-5924...
Il Segretario Generale del Garante per la protezione dei dati personali, Angelo Fanizza, ha rassegnato le proprie dimissioni a seguito di una riunione straordinaria tenuta questa mattina nella sala Ro...
Un impiegato si è dichiarato colpevole di aver hackerato la rete del suo ex datore di lavoro e di aver causato danni per quasi 1 milione di dollari dopo essere stato licenziato. Secondo l’accusa, i...
