McHire от McDonald’s: как пароль 123456 раскрыл данные 64 млн человек

Тема всплыла в ветке r/technology на Reddit. Пост о «пароле 123456», который защищал чат‑бот McHire, собрал более четырёх тысяч голосов за сутки. Людей задело то, что простейший пароль мог стоить десятки миллионов личных файлов.

Как всё произошло

McHire — платформа найма, построенная компанией Paradox.ai для McDonald’s. Вместо надёжного ключа в продакшн‑системе оставили тестовый аккаунт 123456:123456. Считается, что учётка была активна с 2019 года. Когда исследователи нашли её, они получили доступ к более чем 64 миллионам заявок со всей США.

Скорость взлома — секунды. По статистике «123456» по‑прежнему используется 4,5 млн человек, а среднее время подбора — менее одной секунды.

Что говорят комментаторы

«ngl the real story here is that 64 million people trusted a company that literally used "123456" as an admin credential.» — sudo_overcoffee

«Any audit of the system should have caught this.» — nattblack

Почему это важно за пределами США

McDonald’s — глобальный бренд, а McHire уже работает в нескольких странах. Одна уязвимость в админском пароле ставит под угрозу данные миллионов соискателей, а значит, подрывает доверие к AI‑решениям в HR‑индустрии.

Случай напоминает о том, что безопасность — это не только шифры, но и элементарная гигиена: смена пароля, двухфакторка, аудит прав доступа.

Анализ рынка

В России

• Кейпасс (KeePass) — бесплатный локальный менеджер паролей, открытый код, но требует ручной настройки и не предлагает облачной синхронизации.
• Парольщик — отечественный сервис с мобильным приложением, хранит пароли в зашифрованном облаке, но ограничен базовыми функциями без аудита безопасности.
• Bitwarden (российская локализация) — международный продукт, доступен на русском, но в России мало интеграций с корпоративными системами.

За рубежом

• 1Password — премиум‑сервис, автоматический аудит слабых паролей, интеграция с SSO и корпоративными каталогами.
• LastPass Enterprise — централизованное управление правами, отчёты о компрометациях, API для DevOps.
• Dashlane Business — VPN‑защита в комплекте, мониторинг утечек в темных веб‑источниках.

Незакрытая ниша: в России нет SaaS‑сервиса, который бы автоматически сканировал корпоративные администраторские учётные записи, проверял их на простые пароли и выдавал отчёт с рекомендациями. Такие инструменты есть за границей (например, “SecurityScorecard”), но локального аналога нет.

Читайте также

• Deepfake‑CFO обманул сотрудника: как не потерять $100 000
• Amazon и дроны: как война влияет на облачные сервисы
• Meta и подрядчик: конфликт вокруг смарт-очков Ray-Ban