McDonald’s : le mot de passe « 123456 » qui a exposé sa plateforme de recrutement

Un mot de passe aussi prévisible que « 123456 » a suffi à révéler une faille préoccupante dans l’un des outils de recrutement de McDonald’s. Sur McHire, la plateforme qui s’appuie notamment sur le chatbot Olivia pour dialoguer avec les candidats, les chercheurs en sécurité Ian Carroll et Sam Curry ont réussi à accéder à des informations liées à des candidatures. Au-delà de l’embarras pour l’enseigne, l’affaire montre comment une protection élémentaire mal configurée peut mettre en danger des données très concrètes : identités, coordonnées et échanges privés de personnes en recherche d’emploi.

Le cas est particulièrement sensible, car une candidature est un moment de vulnérabilité. Les personnes qui postulent attendent parfois une réponse, communiquent leurs coordonnées et peuvent être plus réceptives à un message qui semble venir d’un recruteur. Une fuite de ce type crée donc un terrain favorable aux tentatives d’hameçonnage et aux escroqueries ciblées.

Une faille découverte en quelques heures

McHire est le service de recrutement en ligne utilisé par McDonald’s. Il propose notamment Olivia, un agent conversationnel développé par Paradox.ai. Ce chatbot guide les candidats dans les premières étapes de leur candidature et recueille des informations utiles au processus d’embauche.

Selon les éléments rapportés par les chercheurs, Ian Carroll et Sam Curry ont créé un profil fictif puis ont pu atteindre un espace d’administration associé à un restaurant fictif. L’accès était protégé par le mot de passe « 123456 », l’une des combinaisons les plus faibles et les plus connues qui soient.

La facilité de ce mot de passe ne constitue toutefois qu’une partie du problème. Une fois dans l’interface, les chercheurs ont constaté que les protections entourant les dossiers de candidature étaient insuffisantes. En modifiant le numéro attribué à une candidature, ils pouvaient consulter d’autres dossiers antérieurs.

Quelles données les candidats pouvaient-ils voir exposées ?

Les informations accessibles comprenaient les noms, les adresses, les numéros de téléphone et les conversations avec le chatbot Olivia. Réunies, ces données peuvent donner à un fraudeur assez d’éléments pour se faire passer pour un recruteur ou pour personnaliser un message frauduleux.

Par exemple, un candidat ayant récemment postulé pourrait recevoir un SMS ou un courriel évoquant un prétendu entretien, une embauche ou un document urgent à compléter. Un message contenant le nom de la personne et faisant référence à une candidature réelle est souvent plus crédible qu’une tentative d’arnaque générique.

Il importe néanmoins de distinguer deux notions souvent confondues dans les premières heures suivant la révélation d’une faille : le nombre de dossiers potentiellement accessibles et le nombre de dossiers effectivement extraits ou utilisés de manière malveillante. Les informations disponibles au 11 juillet 2025 ne permettent pas d’affirmer que des millions de dossiers ont été téléchargés par des personnes malveillantes.

Paradox.ai a indiqué que seuls quelques dossiers comportaient des données personnelles sensibles. Cette précision réduit le périmètre confirmé, mais ne change pas la gravité du mécanisme découvert : une plateforme de recrutement doit empêcher un utilisateur d’accéder aux données d’autres personnes, même s’il possède un compte interne.

Pourquoi le chiffre de 64 millions doit être lu avec prudence

Le nombre d’environ 64 millions de candidatures illustre l’ampleur potentielle de McHire, pas nécessairement celle d’une fuite avérée. Dans une affaire de sécurité, le vocabulaire compte. Une vulnérabilité peut rendre un vaste volume de données accessible en théorie, alors que les enquêteurs n’ont de preuve que pour une poignée de dossiers consultés afin de démontrer le problème.

Cette nuance ne minimise pas l’incident. Au contraire, elle aide à comprendre son enjeu : il ne fallait pas qu’un attaquant particulièrement sophistiqué réussisse à contourner plusieurs couches de protection. La combinaison d’un mot de passe faible et de contrôles d’accès insuffisants rendait le risque structurel.

Un bon système de recrutement doit répondre à une question simple à chaque consultation de fiche : cette personne est-elle autorisée à voir ce dossier précis ? Ici, le fait qu’un identifiant de candidature puisse mener à d’autres dossiers suggère une absence ou une faiblesse de cette vérification.

L’IA de recrutement n’efface pas les règles de sécurité

Les outils conversationnels gagnent du terrain dans les ressources humaines. Ils peuvent répondre à des questions répétitives, trier des informations initiales ou aider à planifier des entretiens. Pour les entreprises qui reçoivent un très grand nombre de candidatures, ces services promettent une expérience plus rapide et disponible à toute heure.

Mais l’automatisation accroît aussi la quantité de données centralisées et le nombre de connexions entre services : chatbot, espace candidat, tableau de bord de recruteur, outils de gestion des candidatures et parfois systèmes internes de ressources humaines. Chaque accès doit être protégé selon le principe du moindre privilège : un compte ne doit voir que les données indispensables à sa tâche.

Dans l’affaire McHire, le terme « IA » pourrait faire oublier l’essentiel. Il ne s’agit pas d’un chatbot qui aurait inventé une réponse ou laissé échapper une information dans une conversation. C’est une défaillance de sécurité applicative classique, aggravée par un secret d’accès très facile à deviner.

Les protections qu’une plateforme de recrutement doit prévoir

La première mesure semble évidente : interdire les mots de passe faibles et par défaut, en particulier pour les comptes d’administration. Mais elle n’est jamais suffisante à elle seule. Un mot de passe robuste peut être volé, réutilisé ou obtenu lors d’une campagne d’hameçonnage. Les systèmes qui manipulent des données de candidats doivent donc prévoir plusieurs barrières.

Parmi les protections attendues figurent notamment :

• l’authentification à plusieurs facteurs pour les accès sensibles, afin qu’un mot de passe seul ne suffise pas ;
• une séparation stricte entre les comptes de test, les restaurants fictifs et l’environnement réel contenant des candidatures ;
• des contrôles d’autorisation vérifiés côté serveur pour chaque dossier consulté ;
• des journaux d’activité permettant de détecter les accès inhabituels ;
• des audits réguliers menés par des spécialistes indépendants, avant qu’un chercheur ne découvre une faille en situation réelle.

Quelles obligations pour les entreprises qui collectent des candidatures ?

Les données de recrutement sont des données personnelles. En Europe, le règlement général sur la protection des données, le RGPD, impose aux organisations de mettre en œuvre des mesures techniques et organisationnelles appropriées au niveau de risque. Il prévoit également, dans certaines situations, une notification à l’autorité de contrôle compétente dans les 72 heures lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes.

Lorsque le risque est élevé, les personnes concernées doivent aussi être informées, sauf exceptions prévues par le texte. La décision dépend des circonstances précises : nature des données, volume, niveau de protection, possibilité d’identifier les personnes et risque réel de fraude ou d’atteinte à leur vie privée.

L’affaire rappelle aussi une distinction utile : le règlement européen DORA est parfois cité dans les débats sur la cybersécurité, mais il vise spécifiquement le secteur financier et ses prestataires technologiques. Il ne constitue pas le cadre général applicable à une chaîne de restauration. Pour une plateforme de recrutement, le RGPD et les règles générales de sécurité des données sont les références les plus directement pertinentes.

Que peuvent faire les candidats qui ont utilisé McHire ?

Un candidat ne peut pas réparer la faille de l’entreprise, mais il peut réduire le risque de fraude secondaire. La priorité est de rester attentif aux communications qui prétendent venir de McDonald’s, de Paradox.ai ou d’un recruteur. Un message inattendu demandant un paiement, un code de connexion, des coordonnées bancaires ou une pièce d’identité complète doit être considéré avec prudence.

Il est préférable de vérifier une demande par un canal officiel, plutôt que de répondre directement à un SMS, à un courriel ou à un lien reçu. Les candidats peuvent également surveiller les activités inhabituelles sur leurs comptes et contacter leur banque ainsi que les autorités compétentes en cas de fraude avérée.

Changer un mot de passe personnel est utile s’il a été réutilisé sur plusieurs services ou si un compte candidat est toujours actif. En revanche, cette mesure ne doit pas faire oublier le problème principal : les informations telles que l’adresse ou le numéro de téléphone ne peuvent pas être « changées » aussi simplement qu’un mot de passe.

Ce qu’il faut surveiller après la correction de la faille

McDonald’s a fait savoir qu’il jugeait cette vulnérabilité inacceptable et a travaillé avec Paradox.ai après le signalement du 30 juin. La correction rapide est essentielle, mais elle ne clôt pas à elle seule le sujet. Les éléments à surveiller sont la portée précise de l’incident, l’existence éventuelle de consultations antérieures et les mesures prises pour empêcher qu’un compte de test ou un mot de passe par défaut n’ouvre à nouveau la porte à des données réelles.

Pour les entreprises, le dossier est un rappel particulièrement net : les projets d’IA appliqués au recrutement ne doivent pas être évalués seulement sur la fluidité du dialogue ou la rapidité de traitement des candidatures. Ils doivent l’être sur la sécurité de bout en bout, depuis la création du compte jusqu’à l’accès à chaque dossier.

Pour les candidats, cette affaire souligne enfin une règle durable : toute information transmise lors d’une candidature mérite le même niveau de vigilance que celle confiée à une banque ou à un service de santé. La confiance numérique repose autant sur la promesse d’un outil que sur la solidité, souvent invisible, de ses protections.