マクドナルドAI採用システムが「123456」パスワードで6400万件流出

2025年07月11日

マクドナルドのAI採用システムが脆弱なパスワードで6400万件の応募者データを流出
「123456」という初期設定パスワードが管理者パネルへの不正アクセスを許可
AI技術導入時のセキュリティ管理とベンダー監視の重要性が浮き彫りに

SEOの常識を覆す
AIライティングエージェント

プロフェッショナルの業務フローを完全再現するAIの活用で、飛躍的な品質向上とコストダウンの両立。「magicss」でAI時代のSEO＆AIOを実現してみませんか？

今なら 1記事無料で生成可能（カード登録不要）

最短3分で無料体験する

「123456」パスワードが引き起こした大規模データ流出

マクドナルドが採用プロセスで使用しているAIチャットボット「Olivia」を搭載したMcHireプラットフォームで、深刻なセキュリティ脆弱性が発見されました。研究者らは、管理者パネルに設定されていた「123456」という極めて脆弱なデフォルトパスワードを使用して、わずか30分程度で約6400万件の求職者データにアクセスすることに成功しました[1]。

流出したデータには、求職者の個人情報、連絡先、応募履歴、さらには認証トークンなどの機密情報が含まれていました。このプラットフォームは、マクドナルドの約90%のフランチャイズ店舗で使用されており、影響の規模は極めて大きなものとなっています[2]。

この事件は、AI技術の導入における基本的なセキュリティ対策の重要性を改めて浮き彫りにしています。「123456」というパスワードは、まるで家の鍵を玄関のドアマットの下に置いているようなものです。特に大企業が数千万件の個人データを扱うシステムにおいて、このような初歩的なセキュリティホールが存在することは、企業のデジタル変革における危機管理体制の根本的な見直しが必要であることを示しています。

API脆弱性とIDOR攻撃による大量データアクセス

研究者らは、脆弱なパスワードによる管理者パネルへのアクセスに加えて、IDOR（Insecure Direct Object Reference）脆弱性を悪用してAPIから大量のデータを取得しました。この手法により、システム内の応募者データに順次アクセスし、APIの番号パターンから6400万件以上の応募データが存在することを確認しました[3]。

特に深刻なのは、このAPIアクセスが認証なしで実行可能だったことです。攻撃者は一度管理者権限を取得すれば、システム内の全ての求職者データに制限なくアクセスできる状態でした。流出したデータには、氏名、電話番号、メールアドレス、応募職種、面接スケジュールなどの詳細な個人情報が含まれていました[4]。

IDOR脆弱性は、Webアプリケーションにおける古典的なセキュリティホールの一つです。これは、銀行の金庫室で、顧客が自分の貸金庫番号を変更するだけで他人の貸金庫にアクセスできてしまうような状況に例えられます。現代のAIシステムでは、大量のデータを高速処理する必要があるため、このような基本的なアクセス制御の実装が見落とされがちです。企業は技術革新を追求する一方で、セキュリティの基本原則を決して軽視してはならないのです。

AI採用システムのセキュリティリスクと企業責任

今回の事件は、AI技術を活用した人事システムの普及に伴う新たなセキュリティリスクを明確に示しています。マクドナルドのMcHireシステムを開発・運営するParadox.ai社は、研究者からの報告を受けて迅速に脆弱性を修正し、2025年7月1日までに問題を解決しました[5]。

しかし、流出したデータは既にフィッシング攻撃やなりすまし詐欺などの悪用リスクにさらされています。求職者の個人情報と連絡先が組み合わされたデータは、サイバー犯罪者にとって極めて価値の高い情報となります。企業は技術ベンダーとの契約において、より厳格なセキュリティ基準と定期的な監査体制を確立する必要があります[6]。

AI採用システムの普及は、人事業務の効率化という大きなメリットをもたらしますが、同時に新たなセキュリティ課題も生み出しています。これは、便利な自動運転車を導入する際に、従来の交通ルールだけでなく、サイバーセキュリティの観点からも安全対策を講じる必要があることと似ています。企業は、AI技術の恩恵を享受する一方で、データ保護に関する責任も重大になっていることを認識し、ベンダー選定から運用監視まで、包括的なセキュリティガバナンスを構築することが不可欠です。

まとめ

マクドナルドのAI採用システムで発生した今回のデータ流出事件は、デジタル変革を進める企業にとって重要な教訓となります。技術革新の恩恵を最大化するためには、基本的なセキュリティ対策の徹底と、継続的な監視体制の構築が不可欠です。企業は、AI技術の導入において、利便性と安全性のバランスを慎重に検討し、求職者や顧客の信頼を守るための責任を果たす必要があります。