Dünyanın en büyük fast food markalarından McDonald’s, şimdiye kadar yaşadığı en büyük siber güvenlik krizlerinden biriyle karşı karşıya. Şirketin işe alım sürecinde kullandığı McHire adlı platformda ortaya çıkan büyük bir güvenlik açığı, milyonlarca başvuru sahibinin kişisel bilgilerinin korsanların eline geçmesine yol açtı.
“123456” ile Sisteme Giriş Yapıldı
Olay, siber güvenlik araştırmacılarının yaptığı çarpıcı bir keşifle ortaya çıktı. Araştırmalar, McHire’ın yönetici paneline yalnızca "123456" gibi son derece zayıf bir şifreyle giriş yapılabildiğini gösterdi. Bu kadar temel bir güvenlik açığının böylesine büyük bir sistemde var olması, siber dünyada büyük yankı uyandırdı.
API Üzerinden Kimlik Doğrulama Bile Yapılmıyordu
Asıl çarpıcı olan ise yalnızca şifre değil, sistemin API altyapısında kimlik doğrulama mekanizmasının tamamen devre dışı bırakılmış olmasıydı. Sistem, “lead_id” üzerinden kullanıcı verilerini doğrulama yapmadan erişime açıyordu. Böylece milyonlarca başvuruda yer alan ad, soyad, telefon numarası, e-posta adresi, başvuru detayları, kişilik testi sonuçları ve chat geçmişi gibi son derece hassas bilgiler sızdırılmış oldu.
Paradox.ai Güvenlik Açığını Kapatmakta Gecikti
McHire platformunu geliştiren Paradox.ai şirketine ulaşmaya çalışan araştırmacılar, firmanın resmi bir açık bildirimi mekanizması olmadığını fark etti. Çeşitli e-posta adreslerinden durumu bildirmeye çalışan ekip, sonunda doğru kişilere ulaşabildi. Firma geç de olsa açığı kapattığını ve sistem genelinde güvenlik taraması başlattığını açıkladı.
Sızıntının Boyutu Endişe Verici
İddialara göre sızan bilgiler dünya çapında 64 milyon kişiyi etkiliyor. Söz konusu verilerin, kötü niyetli kişilerin başvuru sahipleri adına sistemlere erişmesini mümkün kılacak kadar ayrıntılı olduğu ifade ediliyor. Bu durum hem McDonald’s hem de platformun geliştiricisi Paradox.ai için büyük bir prestij kaybı anlamına geliyor.
Siber Güvenlik Uzmanları Uyarıyor
Uzmanlar, şirketlerin özellikle işe alım sistemleri gibi kişisel veri barındıran platformlarda çok daha sıkı güvenlik önlemleri alması gerektiğini vurguluyor. Basit şifrelerin ve kimlik doğrulama eksikliklerinin böylesine büyük krizlere yol açabileceği bir kez daha gözler önüne serildi.
(Sözcü)
