Исследователь BobDaHacker обнаружил множество уязвимостей в цифровой инфраструктуре McDonald's, которые раскрывали конфиденциальные данные клиентов и позволяли осуществлять несанкционированный доступ к внутренним корпоративным системам. Он отметил, что компания крайне медленно занималась их устранением.

Больше кадров — больше лага: тестирование латентности с генерацией кадров DLSS и FSR

От Ryzen 7 1800X до Ryzen 7 9850X3D: девять лет эволюции AMD в одном тесте

Компьютер месяца — май 2026 года

Обзор Apple MacBook Neo: удивительно хороший ноутбук с процессором от iPhone

Можно ли экономить на DDR5 для Ryzen? Сравниваем дешёвую память с дорогой

Источник изображения: Kevin Ku/unsplash.com

В частности, на внедрение полноценной системы учётных записей с разными путями входа в сервис McDonald's Feel-Good Design Hub для сотрудников компании потребовалось целых три месяца после получения сообщения исследователя. «Однако проблема всё ещё оставалась. Мне нужно было всего лишь изменить login на register в URL-адресе, чтобы создать новую учётную запись для получения доступа к платформе», — сообщил BobDaHacker.

Трудно поверить, что McDonald's серьёзно относится к безопасности своего центра Feel-Good Design Hub, когда на решение проблемы уходит целый квартал, когда для этого достаточно изменить одно слово в URL-адресе, отметил ресурс Tom's Hardware.

Исследователь заинтересовался безопасностью инфраструктуры McDonald's когда обнаружил, что мобильное приложение McDonald's выполняло проверку бонусных баллов только на стороне клиента, что позволяло пользователям потенциально претендовать на бесплатные блюда, например, наггетсы, даже не имея достаточного количества баллов.

Столкнувшись с проблемами при попытке сообщить об этой находке по надлежащим каналам McDonald's, BobDaHacker продолжил изучение системы безопасности компании и обнаружил уже более серьёзные уязвимости.

Например, система регистрации McDonald's Feel-Good Design Hub выдавала сообщения об ошибках с указанием обязательных полей, что упрощало несанкционированное создание учётной записи. Более того, платформа отправляла новым пользователям пароль в открытом виде, что давно не практикуется крупными компаниями.

Исследователь обнаружил API-ключи и секреты McDonald's, встроенные непосредственно в JavaScript-код Design Hub, что могло позволить злоумышленникам отправлять пользователям уведомления под видом официальных или проводить фишинговые кампании, используя собственную инфраструктуру McDonald's.

Это неполный перечень уязвимостей, которые выявил BobDaHacker. Он рассказал, что столкнулся с большими трудностями при попытке уведомить компанию об имеющихся багах. Пришлось звонить в штаб-квартиру McDonald's и случайным образом называя имена сотрудников службы безопасности, найденных в LinkedIn, связаться с уполномоченным лицом для отправки отчёта об уязвимостях. «На горячей линии штаб-квартиры просто просят назвать имя человека, с которым вы хотите связаться. Поэтому я продолжал звонить, называя случайные имена сотрудников службы безопасности, пока наконец кто-то достаточно важный мне не перезвонил и не дал мне реальный адрес для сообщения об этих проблемах», — рассказал BobDaHacker.

Исследователь сообщил, что McDonald's, похоже, устранила «большинство уязвимостей», о которых ей рассказали, но при этом компания уволила сотрудника, который помогал расследовать некоторые уязвимости, и «так и не создала надлежащий канал для сообщения о проблемах с безопасностью».

Безопасность данных пользователей платформы McHire, которую McDonald’s использует для приёма сотрудников на работу, была серьёзно скомпрометирована. ИИ-бот Olivia хранил данные соискателей под паролем «123456», что позволяло хакерам легко получить доступ к личной информации соискателей: именам, номерам телефонов и адресам электронной почты. По оценкам экспертов, утечке могли подвергнуться до 64 миллионов записей.

Можно ли экономить на DDR5 для Ryzen? Сравниваем дешёвую память с дорогой

Обзор Apple MacBook Neo: удивительно хороший ноутбук с процессором от iPhone

От Ryzen 7 1800X до Ryzen 7 9850X3D: девять лет эволюции AMD в одном тесте

Больше кадров — больше лага: тестирование латентности с генерацией кадров DLSS и FSR

Компьютер месяца — май 2026 года

Источник изображения: Waid1995/Pixabay

Об уязвимости стало известно после того, как независимые исследователи Иэн Кэрролл (Ian Carroll) и Сэм Карри (Sam Curry), специализирующиеся на тестировании безопасности, обнаружили дыры в системе. С помощью простых методов, включая подбор логина и пароля «123456», они получили прямой доступ к базам данных платформы. По сообщению издания Wired, исследование проводилось без злонамеренных целей: специалисты просто хотели проверить уровень защиты сервиса.

Кэрролл рассказал, что заинтересовался системой найма McDonald’s именно из-за её необычного подхода. По его словам, использование ИИ-бота вместо живых рекрутеров выглядело настолько странно, что он решил проверить, насколько защищены данные кандидатов. В итоге уже через полчаса тестирования он получил доступ ко всем заявкам, поданным в McDonald’s за последние годы.

Представители Paradox.ai, компании, разработавшей платформу чат-бота, подтвердили наличие уязвимости, но заявили, что лишь небольшая часть данных содержала персональную информацию. Компания также утверждает, что аккаунт с паролем «123456» не был взломан посторонними лицами, а доступ к нему получили исключительно сами исследователи. При этом главный юрист Paradox.ai Стефани Кинг (Stephanie King) заявила, что компания осознаёт серьёзность проблемы и уже работает над программой поиска уязвимостей, чтобы избежать подобных инцидентов в будущем.

McDonald’s, в свою очередь, возложил ответственность на Paradox.ai, назвав ситуацию неприемлемой. В заявлении компании говорится, что уязвимость была устранена в тот же день, когда о ней стало известно, и что сеть ресторанов требует от подрядчиков строгого соблюдения стандартов защиты данных.

Популярная сеть питания McDonald's прекращает тестирование технологии автоматизированного приёма заказов (AOT) в своих ресторанах на основе искусственного интеллекта из-за ошибок в заказах. Эксперимент проводился в партнёрстве с IBM на протяжении последних двух лет. Данное решение было принято после тщательного анализа результатов пилотного проекта в более чем 100 ресторанах сети.

Больше кадров — больше лага: тестирование латентности с генерацией кадров DLSS и FSR

Компьютер месяца — май 2026 года

Обзор Apple MacBook Neo: удивительно хороший ноутбук с процессором от iPhone

От Ryzen 7 1800X до Ryzen 7 9850X3D: девять лет эволюции AMD в одном тесте

Можно ли экономить на DDR5 для Ryzen? Сравниваем дешёвую память с дорогой

Источник изображения: Meghan Hessler/Unsplash

Согласно внутреннему письму, разосланному франчайзи McDonald’s, использование технологии AOT, основанной на применении ИИ для автоматизации процесса приёма заказов, будет полностью прекращено к 26 июля 2024 года. При этом подчёркивается, что несмотря на определённые успехи самой технологии в ходе тестирования, руководство McDonald’s видит потенциал для дальнейшего изучения альтернативных решений в области автоматизации голосовых заказов, сообщают «Известия».

Основной целью проекта являлась проверка способности технологии AOT ускорить процесс обслуживания клиентов и упростить операции в ресторанах. Однако в ходе испытаний был выявлен ряд недостатков, в частности, связанных с неточностью оформления заказов. Как сообщает The New York Post, «ИИ мог запросто добавить бекон в рожок с мороженым, включить в заказ вместо одного напитка девять или выставить огромный счёт за наггетсы». Всё это не могло не вызвать обеспокоенность руководства McDonald’s в отношении готовности технологии к полноценному применению.

Несмотря на прекращение сотрудничества с IBM в данном направлении, компания планирует продолжить поиск оптимального варианта для автоматизации заказов и намерена принять окончательное решение до конца 2024 года. Как подчёркивает руководство сети фастфуда, опыт данного тестирования укрепил уверенность в том, что технологии искусственного интеллекта неизбежно станут частью работы ресторанов в будущем.

В то время как многие конкуренты McDonald’s, такие как Wendy’s, Dunkin и Carl’s Jr, активно внедряют технологии автоматизированного приёма заказов, McDonald’s решил взять паузу и более тщательно изучить различные варианты, прежде чем полномасштабно интегрировать подобные инновации в рабочие процессы и, несмотря на завершение партнёрства с IBM, сохраняет далеко идущие планы по модернизации процесса приёма заказов с помощью современных технологических решений.