McDonald’s y su bot de contratación con IA: expuestos millones de candidatos por una contraseña ridícula

CURIOSIDADES · VIRAL · IA · RRHH · CIBERSEGURIDAD

Según destapó WIRED, el problema giró alrededor de McHire, el portal usado por McDonald’s para gestionar candidaturas con ayuda del chatbot Olivia (de Paradox.ai). La cara visible es una conversación amable. El riesgo real vive detrás: paneles de administración, bases de datos, integraciones y permisos.

1) Qué pasó (y por qué da tanta rabia)

La escena es tan simple que parece una broma: investigadores de seguridad lograron entrar en un entorno del sistema usando una contraseña extremadamente débil, del estilo “123456”. A partir de ahí, se abría acceso a información asociada a candidaturas y chats del proceso.

En algunas coberturas se habla de decenas de millones de solicitudes registradas en el sistema (ojo: no necesariamente “personas únicas”; una persona puede generar varias solicitudes). Lo importante no es el número exacto: es el patrón. Si el sistema escala a millones, la superficie de ataque escala a millones.

¿Qué tipo de datos te puede dejar expuesto un flujo así? No necesitas “tarjetas de crédito” para que sea peligroso. Con que existan estos elementos, ya hay problema:

• Datos de contacto: nombre, email, teléfono.
• Metadatos: por ejemplo IP y trazas de actividad (según coberturas).
• Respuestas y preferencias: disponibilidad, turnos, localización, historial de candidatura, etc.
• Conversaciones: lo que el candidato escribió al bot (eso, para un atacante, es oro para phishing).

La moraleja aquí es cruel: no “falló la IA”, falló la higiene. La IA solo estaba en primera fila, recogiendo y moviendo datos a gran velocidad. Y ahí es cuando un descuido pequeño se convierte en desastre grande.

2) La parte que casi nadie cuenta: RRHH es un imán para el fraude

Si tú fueras un estafador, ¿a quién atacarías? ¿A alguien que está tranquilo… o a alguien que está esperando un trabajo?

Si te interesa el lado humano (y oscuro) de esto, te encaja muy bien esta lectura: IA que filtra tu CV y tus entrevistas. Porque aquí no hablamos solo de tecnología, hablamos de poder sobre oportunidades.

3) “Yo uso un proveedor”: perfecto… pero el riesgo sigue siendo tuyo

Esta frase la he oído demasiadas veces: “Eso lo lleva un tercero”. Ya. Pero cuando el tercero recoge datos en tu nombre, tu marca es la que aparece en la experiencia. Y el candidato no distingue entre “McDonald’s” y “el proveedor del chatbot”. Distinge entre “me pasó a mí” y “me da miedo volver a dejar mis datos”.

Aquí se mezcla todo: seguridad, privacidad, reputación y cumplimiento. Si quieres tener claro el mapa de errores típicos (los que parecen pequeños hasta que revientan), guarda este artículo: errores típicos al usar IA: alucinaciones y privacidad.

4) Checklist de auditoría si automatizas RRHH (lo que deberías revisar hoy)

Vamos a lo práctico. Si tienes un bot, un formulario inteligente o un flujo automático de selección, esta es la auditoría que yo haría. No hace falta ser una multinacional: hace falta ser ordenado.

A) Acceso: donde se gana o se pierde todo

• MFA obligatorio en cuentas admin y paneles internos (sin excepciones).
• Cero credenciales por defecto: ni demo, ni test, ni “temporal”. Si existe, se elimina o se blinda.
• Bloqueo por intentos y rate limiting en login (si no lo tienes, estás pidiendo fuerza bruta).
• Mínimo privilegio: cada rol ve solo lo que necesita, no “todo por si acaso”.

B) Datos: menos es más (y se nota cuando falla)

• Minimización: pide lo necesario para ese paso, no todo desde el minuto uno.
• Retención: define tiempos, borra de verdad y comprueba borrado end-to-end.
• Separación de entornos: test y producción no se mezclan, ni comparten accesos.
• Registros de acceso: quién accedió, cuándo, desde dónde y qué exportó.

C) Integraciones: la autopista del riesgo

• Scopes limitados en API/tokens (lo mínimo imprescindible).
• Rotación de credenciales y tokens (y nada de secretos en hojas compartidas).
• Alertas por exportaciones masivas o patrones raros (de verdad, esto salva vidas).
• Plan de apagado: cómo vuelves a un proceso manual sin perder control ni trazabilidad.

D) Proveedor: confianza sí, fe no

• ¿Hay bug bounty o canal serio para reportar vulnerabilidades?
• ¿Cómo es la respuesta a incidentes y en qué plazos te notifican?
• ¿Puedes acceder a logs y exportarlos si hay un problema?
• ¿Qué subproveedores participan (hosting, analítica, modelos) y con qué garantías?

Si quieres convertir este checklist en algo operativo (no en un PDF que nadie abre), te va a ayudar mucho: documentar el uso de IA en la empresa. La documentación bien hecha no es burocracia: es memoria y control.

5) El aprendizaje final: cuando automatizas, también automatizas el daño

Lo más útil que puedes sacar de McHire no es el chiste de la contraseña. Es esta idea: la automatización no solo acelera procesos, también acelera consecuencias. Si tu funnel procesa miles de candidaturas al día, un fallo mínimo puede afectar a una cantidad absurda de personas antes de que alguien lo note.

La próxima vez que alguien te venda “un bot de IA para contratar más rápido”, pregúntate algo más importante: ¿y para contratar más seguro? Porque la diferencia entre innovación y desastre, muchas veces, es tan triste como un “123456”.