最近有一項資安漏洞的發現引起各界關注，這些弱點出現在麥當勞的徵才對話機器人McHire，此機器人以科技業者Paradox.ai旗下的機器人Olivia為基礎打造，用來收集求職者的個人資料。但研究人員Ian Carroll與Sam Curry發現，此系統的管理後臺竟採用帳號與密碼皆為123456的預設帳號，然後兩名研究人員循線找到不安全的直接物件參照（Insecure Direct Object Reference，IDOR）漏洞，攻擊者只要調整特定的參數，就有機會存取其他應徵者的聊天內容，從而挖掘相關個資。

這樣的情況，恐影響美國6,400萬名曾經應徵的求職者。研究人員於6月30日通報麥當勞與Paradox.ai，麥當勞註銷上述的預設帳號，隔日Paradox.ai修補IDOR漏洞。

內部控制建議

1.強化資安防護措施:對話機器人系統加裝防火牆、入侵偵測及漏洞掃描工具，定期更新系統補丁。

2.加強個資保護控管:實施嚴格的資料存取權限管理，並採用資料加密技術保護求職者資訊。

3.建立漏洞監控與通報機制:設置自動化監控系統，並明確資安事件通報流程，確保異常即時反應。

4.供應商及第三方管理:定期評估合作廠商的資安風險，納入合約要求資安防護標準。

5.強化員工資安教育:定期舉辦資安意識培訓，提升全員防範個資外洩的能力。

稽核追蹤建議

1.擴大資安稽核範圍:將AI系統及對話機器人納入常態稽核項目，確保新興系統安全。

2.建立定期追蹤機制:對已發現的資安缺失與風險，設定整改時程，並進行追蹤驗證。

3.落實風險評估與控管:在系統開發、更新或重大變更前，執行完整風險評估並記錄。

4.強化跨部門溝通協作:建立稽核、IT與資安部門的定期協調會議，促進資訊共享與快速反應。

5.稽核報告改善落實:建立改善執行追蹤機制，確保稽核建議真正轉化為有效行動。

(參考來源：ithome 2025.07.14)

JCAATs AI稽核軟體3.5新版上市！

JCAATs AI 稽核軟體可應用於資訊安全查核，運用 AI 強化資安稽核，歡迎洽詢https://www.jacksoft.com.tw/jcaats_3_5.php

JCAATs相關課程參考:運用AI協助個資保護遵循查核-以個資檔案管理查核實例演練

https://www.jacksoft.com.tw/DM_iframe/iframe_icaea.php?url=sign_up/1938/dm.htm&data=activelist&id=1938

0