Skandal u McDonald's: Nuggetsi za džabe i tajni podaci menadžera otkriveni zbog baga

Naizgled bezazlena greška u McDonald's aplikaciji za nagrade pretvorila se u otkriće jedne od najopasnijih rupa u bezbednosti koje je kompanija imala poslednjih godina. Istraživač koji se potpisuje kao BobDaHacker uspeo je da otkrije da se validacija poena odvija samo na korisničkoj strani aplikacije, što je značilo da su korisnici mogli da naručuju besplatne proizvode, poput nuggetsa, bez stvarno zarađenih poena.

Pokušaji da upozori kompaniju naišli su na zid, jedan od inženjera čak je odbacio prijavu jer je bio "prezauzet". Bag je ipak zakrpljen tek nekoliko dana kasnije. Ali to je bio samo početak.

Preporučujemo

Kopajući dublje po McDonald's sistemima, istraživač je pronašao ozbiljne propuste na platformi Design Hub, alatu koji koriste timovi u više od 120 zemalja. Sistem je štitila samo lozinka na strani klijenta, što je omogućilo ulazak svakome ko je znao kako da manipuliše URL-ovima. Još gore, podaci su se slali na mejl u čistom tekstu, bez ikakve enkripcije, što je 2025. gotovo nezamisliv bezbednosni propust.

Eksponirani podaci zaposlenih i kandidata

U okviru provere, BobDaHacker je otkrio i otvorene endpoint tačke koje su omogućavale kreiranje novih naloga bez ikakve zaštite. To je otvorilo vrata za pristup poverljivim materijalima namenjenim isključivo internom korišćenju.

Još alarmantnije je bilo otkriće da osnovni nalozi zaposlenih mogu da pristupe alatima namenjenim rukovodiocima, pa čak i da koriste funkciju "impersonacije", kojom je bilo moguće preuzeti identitet drugih zaposlenih i pregledati njihove podatke. Na taj način, mejlovi menadžera i detalji o globalnim zaposlenima postali su dostupni svakome ko zna kako da probije sistem.

McDonald’s se suočio i sa curenjem ogromne baze podataka kandidata za posao. Propust u AI sistemu za zapošljavanje otkrio je čak 64 miliona prijava, sa ličnim podacima kandidata, zbog korišćenja jednostavne lozinke "123456".

Posledice i nerešena pitanja

Većina problema je nakon višemesečne borbe zakrpljena, ali pojedini propusti, poput otvorenog registra, i dalje navodno postoje. Tragičan epilog cele priče je otpuštanje jednog od saradnika istraživača, koji je proglašen "bezbednosnim rizikom".

Stručnjaci ističu da McDonald’s i dalje nema jasno definisan bug bounty program niti sigurnosni kanal za prijavu ranjivosti, što dovodi do rizika da slični problemi ponovo isplivaju na površinu.

(Telegraf.rs/CyberSecurityNews)