McDonald’s : un mot de passe faible expose 64 millions de candidatures

Un mot de passe aussi courant que « 123456 » ne devrait protéger aucun compte professionnel, a fortiori pas une plateforme qui centralise des millions de candidatures. Pourtant, c’est l’un des éléments qui a permis à deux chercheurs en cybersécurité d’identifier une grave faille dans McHire, l’outil de recrutement de McDonald’s fourni par l’entreprise Paradox.ai. Révélé début juillet 2025, le problème illustre un risque souvent sous-estimé : l’automatisation du recrutement ne réduit pas les obligations de protection des données, elle les rend parfois plus complexes.

Derrière l’interface conversationnelle se trouvait un environnement susceptible de livrer des informations personnelles associées à jusqu’à 64 millions de candidatures. Les chercheurs Ian Carroll et Sam Curry ont signalé la vulnérabilité. McDonald’s a fait part de sa déception à l’égard de la sécurité de son fournisseur tiers, tandis que Paradox.ai a indiqué avoir apporté un correctif et annoncé un programme de récompense destiné aux personnes qui signaleraient d’autres failles.

Ce que les chercheurs ont découvert dans McHire

McHire est la plateforme utilisée par McDonald’s pour accompagner certaines étapes de recrutement. Elle s’appuie notamment sur Olivia, un chatbot conçu par Paradox.ai. Son rôle est de dialoguer avec les personnes intéressées par un poste, de recueillir des informations initiales et de fluidifier les démarches, par exemple avant une prise de rendez-vous ou la transmission d’une candidature à un responsable.

Le problème ne résidait pas, à proprement parler, dans la capacité du chatbot à converser. Il concernait l’infrastructure qui hébergeait et administrait les données collectées. Ian Carroll et Sam Curry ont découvert qu’un accès administratif lié au système pouvait être ouvert avec le mot de passe extrêmement faible « 123456 ». Cette première faiblesse s’ajoutait à un défaut de contrôle d’accès qui permettait de consulter des dossiers qui n’auraient pas dû être accessibles.

Selon le récit des chercheurs, il leur a fallu environ trente minutes pour accéder à l’environnement et mettre en évidence le problème. Une telle durée est particulièrement préoccupante dans un service traitant des candidatures à grande échelle : la sécurité ne doit pas seulement empêcher les attaques sophistiquées, elle doit aussi bloquer les tentatives les plus basiques.

Pourquoi le chiffre de 64 millions doit être lu avec précision

Le nombre de 64 millions correspond aux candidatures et aux données associées qui pouvaient être rendues accessibles par la faille. Il ne faut donc pas l’interpréter automatiquement comme 64 millions d’individus uniques : une même personne peut déposer plusieurs candidatures ou interagir à plusieurs reprises avec un outil de recrutement.

Cette distinction ne minimise pas la gravité du problème. Elle évite en revanche de confondre trois réalités différentes : un volume de dossiers potentiellement accessibles, une exposition effective de données et la preuve qu’un acteur malveillant aurait téléchargé l’ensemble de ces informations. Les éléments rendus publics décrivent la découverte d’une vulnérabilité par des chercheurs et son signalement. Ils montrent surtout qu’une quantité considérable de données pouvait être consultée sans les garanties attendues.

Les informations concernées incluaient notamment des noms, des adresses e-mail, des numéros de téléphone et des historiques de conversation avec le chatbot. Un échange de recrutement peut sembler anodin, mais il peut révéler les disponibilités d’une personne, son intérêt pour un poste, ou d’autres précisions partagées dans le cadre de sa recherche d’emploi. Croisées avec des coordonnées, ces données ont une valeur pour des fraudeurs.

Des données utiles aux escrocs, même sans données bancaires

Une fuite de coordonnées ne signifie pas qu’un compte bancaire est immédiatement compromis. Elle peut néanmoins préparer des campagnes de phishing, ces messages frauduleux conçus pour inspirer confiance et pousser une victime à divulguer davantage d’informations ou à cliquer sur un lien dangereux.

Dans le cas d’une candidature chez une grande enseigne, un escroc peut se faire passer pour un recruteur, un responsable de restaurant ou un service de ressources humaines. Connaître le nom, l’adresse e-mail, le numéro de téléphone et le contexte d’une candidature rendrait son message plus crédible qu’un spam impersonnel.

Les formulations les plus crédibles sont souvent les plus simples : une prétendue confirmation d’entretien, une demande urgente de compléter un dossier ou une annonce de poste invitant à suivre un lien. Le risque augmente lorsque le message exploite une information vraie, comme le fait qu’une personne ait effectivement candidaté.

McDonald’s et Paradox.ai reconnaissent le problème

La responsabilité technique d’une plateforme de recrutement ne s’arrête pas à l’entreprise qui collecte les candidatures. McDonald’s utilise McHire, mais le système et le chatbot Olivia sont fournis par Paradox.ai. Cette chaîne de sous-traitance est fréquente dans les ressources humaines : une marque confie à un spécialiste technologique la gestion d’un outil conversationnel, d’un espace candidat ou de fonctions d’automatisation.

McDonald’s a déclaré être déçu par la manière dont son fournisseur avait géré la sécurité. Paradox.ai a indiqué avoir rapidement corrigé la vulnérabilité après son signalement. L’entreprise a également annoncé la mise en place d’un programme de récompense pour la découverte de failles, souvent appelé bug bounty.

Le principe est simple : plutôt que d’attendre qu’une vulnérabilité soit exploitée ou divulguée publiquement, une entreprise encourage les chercheurs indépendants à la signaler de manière responsable, parfois contre rémunération. Un tel programme ne remplace pas les contrôles internes, les audits et les tests réguliers. Il peut toutefois constituer une couche de vigilance supplémentaire, en ouvrant l’examen du produit à une communauté spécialisée.

L’IA de recrutement ne peut pas être une boîte noire

Les assistants de recrutement promettent de répondre plus vite aux candidats et de soulager les équipes de tâches répétitives. Ils posent aussi une question concrète : quelles données collectent-ils, combien de temps les conservent-ils, qui peut les consulter et quels prestataires y ont accès ?

Dans un recrutement traditionnel, les informations peuvent être dispersées entre un formulaire, une boîte e-mail et un logiciel de gestion des candidatures. Un chatbot peut au contraire agréger une longue conversation, des coordonnées et des éléments administratifs dans une même interface. Cette centralisation facilite le traitement des dossiers, mais elle augmente aussi les conséquences d’une erreur de configuration.

La sécurité doit donc être pensée dès la conception du service. Plusieurs principes sont particulièrement importants :

• des mots de passe uniques et robustes, complétés lorsque c’est possible par une authentification à plusieurs facteurs ;
• des droits d’accès limités au strict nécessaire, afin qu’un compte ne puisse pas consulter tous les dossiers ;
• des contrôles réguliers pour vérifier qu’une modification du logiciel ou une nouvelle fonction ne crée pas de faille ;
• une séparation effective entre les environnements de test, d’administration et de production ;
• une politique claire sur la conservation et la suppression des informations de candidature.

Le mot « intelligence artificielle » peut donner l’impression d’une technologie autonome et opaque. Dans cette affaire, la défaillance paraît au contraire très classique : un accès insuffisamment protégé et des autorisations mal configurées. Les fondamentaux de la cybersécurité restent donc déterminants, même lorsque l’interface est un agent conversationnel sophistiqué.

Que peuvent faire les personnes ayant candidaté ?

Les candidats ne peuvent pas corriger eux-mêmes la configuration de McHire. Ils peuvent en revanche adopter quelques réflexes utiles face aux tentatives d’usurpation qui pourraient s’appuyer sur une candidature réelle.

Il est prudent de traiter avec méfiance tout message non sollicité prétendant venir d’un recruteur, surtout s’il impose une urgence inhabituelle ou réclame des informations sensibles. Avant de répondre, il vaut mieux vérifier l’adresse de l’expéditeur, se reconnecter directement au portail de candidature plutôt que de suivre un lien reçu, et contacter l’enseigne par un canal officiel en cas de doute.

Aucun recruteur sérieux ne devrait demander par e-mail ou SMS un mot de passe, un code de validation reçu par téléphone, ou des coordonnées bancaires en prétextant une étape préalable à l’embauche. Les recherches d’emploi exposent souvent les candidats à une forte pression temporelle. C’est précisément ce que les escrocs tentent d’exploiter.

Ce qu’il faut surveiller après cette faille

L’affaire McHire pose une question plus large à toutes les entreprises qui automatisent leur recrutement : l’examen de sécurité est-il à la hauteur du volume de données confié à ces outils ? Une interface accueillante et un chatbot efficace ne suffisent pas. Les organisations doivent pouvoir démontrer que les accès sont vérifiés, que les autorisations sont cloisonnées et que les incidents sont détectés puis corrigés rapidement.

Pour les grands groupes, la présence d’un prestataire ne supprime pas leur responsabilité envers les candidats. Elle rend nécessaire une gouvernance plus rigoureuse : évaluer les fournisseurs avant leur déploiement, définir les obligations de sécurité dans les contrats, auditer régulièrement les accès et prévoir une procédure de réponse en cas d’incident.

La promesse des assistants de recrutement est d’accélérer l’entrée dans l’emploi. Cette promesse ne sera durable que si les candidats ont la certitude que les informations fournies pour postuler ne deviennent pas, à cause d’un défaut élémentaire, la matière première d’une fraude ciblée. L’épisode de McDonald’s rappelle que la sécurité des systèmes d’IA commence moins par des prouesses algorithmiques que par des protections simples, systématiques et vérifiables.