安全研究人员最近披露，数百万申请麦当劳职位的求职者的个人信息因猜出这家快餐连锁店在Paradox.ai的账户密码（“123456”）而遭泄露。Paradox.ai 是一家开发人工智能招聘聊天机器人的公司，其产品被多家财富 500 强企业使用。Paradox.ai 表示，此次安全疏忽是一起孤立事件，并未影响其其他客户，但最近其越南员工遭遇的安全漏洞却揭示了一个更为微妙的故事。
paradox.ai 主页的截图显示其 AI 招聘聊天机器人“Olivia”正在与潜在雇员互动。
本月初，安全研究人员伊恩·卡罗尔（Ian Carroll）和萨姆·库里（Sam Curry）撰写了他们发现的访问 McHire.com 网站上人工智能聊天机器人平台后端的简单方法。McHire.com 是麦当劳许多加盟商用来筛选求职者的网站。据《连线》杂志首次报道，研究人员发现 Paradox 使用的弱密码泄露了 6400 万条记录，其中包括求职者的姓名、电子邮件地址和电话号码。
Paradox.ai 承认了研究人员的发现，但表示该公司的其他客户端实例并未受到影响，并且没有泄露任何敏感信息（例如社会安全号码）。
该公司在7月9日的一篇博客文章中写道：“根据我们的记录，我们确信，除了安全研究人员之外，没有任何第三方访问过该测试账户。自2019年以来，该账户就从未被登录过，坦率地说，应该已经停用。我们想非常明确地指出，虽然研究人员可能曾短暂访问过包含所有聊天互动（而非求职申请）的系统，但他们总共只查看并下载了五个包含候选人信息的聊天记录。再次强调，没有任何数据在线泄露或公开。”
然而，多家漏洞追踪服务收集的被盗密码数据显示，2025年6月底，越南Paradox.ai管理员的设备遭遇恶意软件攻击，窃取了各种内部和第三方在线服务的用户名和密码。后果不堪设想。
Paradox.ai 开发人员的密码数据被一种名为“ Nexus Stealer ”的恶意软件窃取，该恶意软件是一种表单抓取和密码窃取程序，在网络犯罪论坛上出售。Nexus 等窃取程序窃取的信息通常会被Intelligence X 等数据泄露聚合服务恢复并索引。据 Intelligence X报告，Paradox.ai 开发人员设备上的恶意软件泄露了数百个密码，这些密码大多是劣质的和重复使用的（使用相同的基本密码，但末尾的字符略有不同）。
这些被盗凭证显示，涉事开发人员曾使用相同的七位数密码登录 Paradox.ai 的账户，该公司网站上列出了多家财富 500 强公司的客户，其中包括Aramark 、洛克希德马丁、 Lowes和百事可乐。
七位密码，尤其是完全由数字组成的密码，极易受到“暴力破解”攻击，这种攻击会快速连续地尝试大量可能的密码组合。根据Hive Systems维护的一份备受参考的密码强度指南，现代密码破解系统几乎可以立即破解七位密码。
图片：hivesystems.com。
在回应 KrebsOnSecurity 的质询时，Paradox.ai 确认密码数据最近因一名驻越南的 Paradox 资深开发人员的个人设备感染恶意软件而被窃取，并表示公司在事件发生后不久就知晓了此事。Paradox 坚称，泄露的密码中只有极少数仍然有效，大多数密码之所以出现在该员工的个人设备上，只是因为他从旧电脑中迁移了密码管理器的内容。
Paradox 还指出，自 2020 年以来，该公司一直要求合作伙伴进行单点登录 (SSO) 身份验证，从而强制执行多因素身份验证。然而，对泄露的密码进行审查后发现，其中包含越南管理员登录该公司 SSO 平台 paradoxai.okta.com 的凭证。该帐户的密码以 202506 结尾——可能指的是 2025 年 6 月——而使用这些凭证成功登录 Okta 后留下的数字 Cookie 显示其有效期至 2025 年 12 月。
泄露的还包括Atlassian （一个软件开发和项目管理平台）账户管理员凭证和身份验证 cookie。该身份验证令牌的到期日期同样为 2025 年 12 月。
信息窃取程序感染是当今数据泄露和勒索软件攻击的主要原因之一，它会导致受害者存储的密码以及在浏览器中输入的任何凭据被盗。大多数信息窃取程序还会窃取受害者设备上存储的身份验证 Cookie，并且根据这些令牌的配置方式，窃贼可能能够利用它们绕过登录提示和/或多重身份验证。
这些信息窃取程序感染通常会在受害者设备上打开后门，允许攻击者远程访问受感染的设备。事实上，最近似乎有人出售对 Paradox 管理员受感染设备的远程访问权限。
2019年2月，Paradox.ai 宣布已成功通过两项相当全面的安全标准（ISO 27001和SOC 2 Type II）的审核。与此同时，该公司本月的安全披露称，用户名和密码均为123456的测试账户最后一次访问是在2019年，但不知何故在年度渗透测试中被遗漏。那么，在实施这些措施的情况下，该公司是如何通过如此严格的安全审核的呢？
Paradox.ai 告诉 KrebsOnSecurity，在 2019 年审计时，该公司的各个承包商并未遵守公司内部实施的安全标准。Paradox 强调，这种情况已经改变，并且自那时起已多次更新其安全和密码要求。
目前尚不清楚这位越南 Paradox 开发人员的电脑是如何被恶意软件感染的，但仔细检查后发现，另一位来自越南的 Paradox.ai 员工的 Windows 设备在 2024 年底也遭到了类似的数据窃取恶意软件的攻击（此次攻击包括受害者的 GitHub 凭证）。这两名员工被盗的凭证数据包括 Web 浏览器日志，这些日志表明受害者反复下载盗版电影和电视节目，而这些下载通常捆绑了伪装成观看盗版内容所需的视频编解码器的恶意软件。
原文： https://krebsonsecurity.com/2025/07/poor-passwords-tattle-on-ai-hiring-bot-maker-paradox-ai/