デフォルトパスワードが6,400万人分のAI採用データを流出させた

問題点

マクドナルドのAI採用チャットボット「Olivia」により、6,400万人の求職者の個人記録が流出しました。このシステムを保護していた管理者パスワードは「123456」でした。これは誇張ではありません。ユーザー名もパスワードも文字どおり両方とも「123456」で、そのアカウントは多要素認証なしのまま、2019年以降監視されずに放置されていました。

セキュリティ研究者のイアン・キャロル（Ian Carroll）氏とサム・カリー（Sam Curry）氏が、2025年6月にこの脆弱性を発見しました。両者が調査を始めたきっかけは、不具合の多いインターフェースに対するユーザーの苦情が広く見られたことでした。これは多くの場合、より深いアーキテクチャ上の手抜きを示すサインです。そのデフォルト認証情報で管理ポータルにログインした両者は、すぐに第二の欠陥を突き止めました。プラットフォームのAPI（異なるシステムをつなぐソフトウェア層）は、ユーザーが特定のレコードを閲覧する権限を持つかどうかを確認していなかったのです。ブラウザのアドレスバーで応募者ID番号を書き換えるだけで、研究者は実在する数百万の候補者について完全な応募記録とチャットログを取り出せました。

流出したデータには、氏名、メールアドレス、電話番号、IPアドレス、オンライン面接の文字起こし、性格診断の結果が含まれていました。これは洗練された国家支援型サイバー攻撃ではありません。貴社のAIベンダーの正面玄関における、基礎的なセキュリティ衛生の崩壊です。貴社の組織がサードパーティのAIツールに依存しているなら、この流出事故は深刻に受け止めるべきものです。フォーチュン100企業のセキュリティは、ベンダーの資格情報運用に全面的に左右されていたのです。

なぜこれが貴社のビジネスにとって重要なのか

この種の情報流出による財務的・法的エクスポージャーは桁外れです。2025年のデータ侵害の平均コストは444万ドルに達しました。しかし、ここで本当のリスク増幅要因となるのは規制です。

貴社の組織は、次のフレームワークの少なくとも一つに該当している可能性が高いでしょう：

• GDPRは、最大€2,000万、または世界年間売上高の4%——いずれか高い方——の罰金を科すことができます。
• CCPAは、1消費者あたり1件につき750ドルの法定損害賠償を認めています。これに6,400万人分を掛け合わせれば、数百億ドル規模の集団訴訟エクスポージャーに直面していることになります。
• EU AI法は採用用AIを「高リスク」に分類し、最大€3,500万または世界売上高の7%の制裁金を科すことができます。

「123456」というデフォルトパスワードは、CCPAが求める「合理的なセキュリティ手順」の正反対と言えます。たとえそのパスワードが貴社のチームのものでなくベンダーのものだったとしても、この一事実だけで、貴社に対する集団訴訟の中心的存在になり得ます。

罰金を超えて、人的コストも現実です。研究によれば、情報流出の被害者の70%が、その後他人を信頼できなくなったと報告しています。3分の2は深い無力感を経験します。被害者は睡眠障害（85%）、ストレスの増大（77%）、慢性的な頭痛（57%）を報告しています。流出データに性格テストの結果——人の内面を数量化できると謳う文書——が含まれている場合、心理的な被害は盗まれたクレジットカード番号よりもはるかに深いところまで及びます。クレジットカードは解約できます。流出した人物プロファイルは、その人に無期限に付きまといます。

取締役会に知らせるべきことは、AIベンダーリスクがもはやIT問題ではないということです。それは貴社の貸借対照表に着地する、財務・法務・評判の問題なのです。

内部で実際に起きていたこと

根本的な問題は、業界で「AIラッパー」モデルと呼ばれるものです。こう考えてみてください。優秀なコンサルタントを雇ったのに、壊れた錠前のついたオフィスと、セキュリティバッジなしと、入ってきた誰にでも開くファイリングキャビネットを与えたとします。コンサルタントの仕事は素晴らしいのに、周囲の建物は無防備なままです。

マクドナルドのAIチャットボットで起きたのはまさにこれです。会話型AIは意図どおりに機能していました。「Olivia」は候補者のスクリーニング、面接の日程調整、性格診断の実施ができました。しかし、その周辺のインフラ——管理ポータル、APIアクセス制御、資格情報管理——は多孔質でした。

悪用された脆弱性は、IDOR（Insecure Direct Object Reference、安全でない直接オブジェクト参照）の欠陥でした。平たく言えば、ログインさえしていれば、URLの数字を変えるだけで誰でも任意のレコードにアクセスできる状態だったのです。そのユーザーがその特定の応募者のデータを見るべきかどうかを確認するチェックは存在しませんでした。

事態をさらに悪化させたのは、ベトナムのParadox.aiの開発者の端末が「Nexus Stealer」というマルウェアに感染していたことを捜査関係者が突き止めたことです。この侵害された一台のデバイスが、Pepsi、Lockheed Martin、Lowes、Aramarkといったクライアントに紐づくアカウントの数百のパスワード——多くは使い回された弱いもの——を流出させました。一人の開発者の杜撰なパスワード習慣が、複数のフォーチュン500企業を危険に晒したのです。

これが「ヒューマンノード」問題です。貴社のAIモデルは技術的に健全であり得ます。しかし、それを管理する人々がパスワードを使い回し、多要素認証を省略していれば、AIスタック全体のセキュリティは、最も弱い人間の環の強度まで崩落します。

有効な対策（そして無効な対策）

まず、貴社を守らないものから見ていきます：

• **後付けのファイアウォールだけ。**標準的なWebアプリケーションファイアウォールは、プロンプトインジェクションやオブジェクト参照操作といったAI特有の脅威を理解しません。正面玄関を守っている間に、側面の窓は開いたままです。
• **場当たり的なガバナンス。**AIベンダーが、古いアカウントをどう廃止するかを含む、文書化された資格情報ライフサイクルを提示できないなら、貴社は無防備です。McHireの管理者アカウントは6年間、有効かつ未監視のまま放置されていました。
• **ベンダーの言葉を信じ込むこと。**フォーチュン100ブランドのセキュリティは、海外のサードパーティ開発者が強いパスワードを使うかどうかのみに依存していました。それはガバナンスではありません。それは希望です。

実際に機能するのは、AIシステムのあらゆる部分を侵害済みの可能性があるものとして扱う、多層防御です：

**1. 入力検証（門番）。**AIシステムに入るすべてのプロンプトとリクエストは、浄化・正規化されます。この層は、隠れたコマンドと誤読され得るコード様の構文や書式を除去します。脅威をモデルに届く前に捕捉します。

**2. マルチモデル検証（相棒方式）。**小さな「カナリア」モデルが、一次AIが処理する前に全リクエストを悪意の有無について分析します。カナリアが不審なものにフラグを立てると、第二の審判モデルが最終判断を下します。これによりチェック・アンド・バランスが生まれます。単一のモデルに無制限の権限を与えません。

**3. 出力検証とリダクション（フィルター）。**すべてのAI応答は信頼できない出力として扱われます。分類器が有害・偏向・幻覚コンテンツを走査します。PIIリダクション層により、システムが社会保障番号、性格スコア、非公開のチャットログを権限のないユーザーに誤って漏らすことがありません。

この多層アプローチの決定的な利点は、監査証跡です。コンプライアンスチームや規制当局から「この意思決定はどうやって行われたのか」と問われたとき、すべての入力、すべての検証ステップ、すべての出力を辿ることができます。この証跡こそが、弁護可能なAIシステムと法的責任を分けるものです。問いから答えへの論理パスを監査人に示すことができないなら、貴社には AIガバナンス）はなく、あるのはブラックボックスだけです。

また、貴社の セキュリティ態勢 にも、ゼロトラストのアイデンティティ管理を含めるべきです。これは、システム内のすべての人間とすべてのAIエージェントが、継続的な検証付きの一意な暗号IDを持つことを意味します。デフォルトパスワードは禁止。資格情報の共有は禁止。6年間居座り続ける失効アカウントも許しません。

ISO 42001（AIマネジメントシステムに関する最初の国際規格）やNIST AIリスクマネジメントフレームワークといったフレームワークにAIスタックを整合させることで、貴社は事後のパッチ適用から予防的ガバナンスへと移行します。これらのフレームワークは、構造化された90日間のロードマップを提供します。最初の30日でAIエクスポージャーを棚卸しし、31日目から60日目までに基礎的なセキュリティ衛生を実装し、61日目から90日目までに高リスク業務向けの高度なモニタリングと人間の承認ゲートを展開します。

この AIセキュリティとレジリエンス をめぐる情勢は急速に変化しています。2026年までに、AIガバナンスは「あれば良い」ものではなく、市場参入の前提条件となります。