安小圈 07月12日 09:17

【暴】麦当劳招聘平台 | 安全漏洞致 6400 万份求职申请信息暴露

安全研究人员发现，麦当劳旗下招聘平台McHire存在严重安全漏洞，导致6400万求职申请数据面临泄露风险。该平台管理员后台使用默认弱密码，且API接口存在不安全直接对象引用漏洞，使得攻击者能够轻易获取申请人的个人信息、求职状态等敏感数据。McHire已修复漏洞，但事件突显了企业在数字化招聘流程中对基础安全措施的忽视。此次事件也再次警示企业加强安全防护，避免类似事件再次发生。

🔑McHire平台管理员后台使用默认弱密码“123456:123456”，为攻击者提供了入侵的便利，导致安全防线形同虚设。

🔍API接口存在不安全直接对象引用（IDOR）漏洞，攻击者可通过修改ID编号遍历获取所有求职者的详细资料，包括个人信息、求职状态等。

⚠️McHire平台累计处理超过6400万份求职申请，潜在泄露数据包括姓名、邮箱、电话、地址、求职状态、用户令牌等敏感信息，可能引发身份盗用等风险。

龙猫 2025-07-12 08:45 上海

安小圈

第707期

漏洞细节：弱密码与 API 缺陷双重风险

网络安全研究人员伊恩・卡罗尔（Ian Carroll）和萨姆・库里（Sam Curry）近期披露，麦当劳旗下招聘聊天机器人平台 McHire 存在严重安全漏洞 —— 其管理员后台竟使用 "123456:123456" 的默认弱密码，同时内部 API 存在不安全直接对象引用（IDOR）漏洞。这意味着攻击者可轻易获取 6400 万份求职申请数据，包括申请人姓名、联系方式、地址等敏感信息。

研究人员在对 McHire 进行安全审查时发现，该平台为餐厅老板设置的管理界面竟未修改初始登录凭证。更严重的是，通过 API 接口的 ID 编号规则，攻击者可遍历获取所有申请人的完整资料，甚至包含求职状态变更记录和用户聊天授权令牌。这些信息足以让恶意者冒充求职者登录系统，进一步窃取原始聊天记录。

漏洞影响范围与数据类型

根据 API 接口的 ID 编号规律推算，McHire 平台累计处理超过 6400 万份求职申请。潜在泄露的数据包括：

个人身份信息：姓名、电子邮箱、电话号码、居住地址

求职过程数据：应聘状态变更记录、可工作班次等表单输入内容

系统访问权限：用户身份验证令牌，可用于登录消费者界面获取聊天记录

网络安全专家指出，此类漏洞暴露了企业在数字化招聘流程中的安全短板。"默认密码的存在简直不可原谅，这相当于给数据仓库留了一扇未上锁的大门"，资深安全顾问维利乌斯・佩特考斯卡斯（Vilius Petkauskas）评论道。

漏洞处置与安全建议

研究团队在发现漏洞后立即向 McHire 技术服务商 Paradox.ai 报告，该公司在 24 小时内完成修复。目前 McHire 已更新管理员认证机制，并对 API 接口增加权限校验。

网络安全社区借此再次强调基础安全实践的重要性：