A veces, las lecciones más grandes provienen de los errores más básicos. Basta con preguntarle a McDonald's, cuya plataforma de contratación impulsada por IA recientemente expuso los datos personales de millones de solicitantes de empleo, gracias a una contraseña que haría estremecer a cualquier experto en TI: "123456".
¿Lo más alarmante? Mientras todos se apresuran a añadir IA a sus procesos de contratación, las medidas de seguridad básicas están quedando en el olvido. Y los candidatos y empleadores son quienes pagan las consecuencias.
Cuando lo "rápido y fácil" se convierte en un "ups, qué desastre"
Sobre el papel, la plataforma McHire de McDonald's parecía un sueño hecho realidad. Un chatbot de IA llamado Olivia filtraría a miles de candidatos, recopilaría su información y realizaría pruebas de personalidad, todo sin intervención humana.
Pero solo había un problema: el sistema era tan seguro como dejar la llave de tu casa debajo del felpudo.
Investigadores de seguridad descubrieron que podían acceder a millones de registros de solicitantes que contenían nombres, direcciones de correo electrónico, números de teléfono e historiales de chat completos debido a descuidos básicos de seguridad, entre ellos:
- Contraseñas de administrador predeterminadas que no se habían cambiado desde 2019
- Sin autenticación multifactor (MFA)
- Sistemas de backend expuestos
- Controles de acceso deficientes
Para ser justos, el error tuvo más que ver con el error humano que con la inteligencia artificial.
Hacked los presentadores del podcast Scott Francis Winder y Jordan Bloeman compararon la configuración de McHire con alinear múltiples capas de queso suizo. Teóricamente, nada pasa, pero cuando los humanos entran en escena, incluso el agujero más pequeño puede provocar una fuga masiva.
¿Su mejor suposición? La posible fuga de datos fue causada por una cuenta de desarrollador utilizada para dar acceso rápido a los equipos de desarrollo sin tener que pasar por el engorro de la autorización MFA.
“Simplemente nunca se limpió. Se sorprenderían de cuántas aplicaciones web SaaS importantes tienen credenciales de omisión importantes para que los desarrolladores las usen”, dicen los presentadores de Hacked.
El costo real de tomar atajos
Para los empleadores, el incidente sirve como un claro recordatorio de que las herramientas de IA son tan seguras como su eslabón más débil.
Aunque no se expusieron datos financieros sensibles, la filtración puso a millones de buscadores de empleo en riesgo de sufrir estafas de phishing dirigidas. Y nos referimos a millones—los investigadores encontraron más de 64 millones de registros de chat que contenían los datos personales de solicitantes que pensaron que estaban teniendo conversaciones privadas con un reclutador de IA.
El momento no podría ser peor:
- Los buscadores de empleo ya se enfrentan a un aumento en estafas de reclutamiento, con la FTC reportando $220 millones en pérdidas solo en la primera mitad de 2024.
- El costo promedio de una multa por GDPR en 2024 fue de €2.8 millones, un aumento del 30% respecto al año anterior.
- El costo promedio global de una filtración de datos ha alcanzado $4.4 millones.
Imagina entregar a los estafadores una mina de oro con la información de contacto de buscadores de empleo verificados, con pruebas de que buscan trabajo activamente en McDonald's. El potencial de phishing es aterrador.
Por ejemplo, imagina a un buscador de empleo desesperado recibiendo un correo electrónico que dice: "¡Gracias por postularte a McDonald's! Nos encantó tu conversación con Olivia. Haz clic aquí para completar tu solicitud..."
Los ciberdelincuentes son expertos en explotar estos escenarios exactos. Como empleador, es tu responsabilidad asegurarte de que eso no ocurra.
¿Qué significa esto para tu proceso de contratación?
Probablemente estés pensando: "Genial, otra historia de terror sobre seguridad. No soy un experto en TI, ¿qué puedo hacer al respecto?"
Según los datos, el 61% de los líderes de RR. HH. están planeando o implementando IA en sus procesos de talento. Y ese número solo va en aumento. Ya sea que uses un asistente de IA para la contratación o te quedes con las herramientas ATS tradicionales, aquí tienes algunos consejos prácticos para mantener seguros los datos de los candidatos.
Vuelve a lo básico (sí, en serio)
Piensa en los conceptos básicos de seguridad como las cerraduras de tu puerta principal: no son sofisticadas, pero son tu primera línea de defensa. Y funcionan: Las empresas con una fuerte conciencia de seguridad fueron 30% menos propensas a sufrir una filtración de datos.
Aquí tienes tu lista de verificación:
- Crea contraseñas que harían llorar a un hacker (lo sentimos, "password123" no será suficiente, y sí, sigue siendo una de las contraseñas más usadas)
- Activa la autenticación de dos factores. Sí, es molesto. No, ya no es opcional. Detiene el 99.9% de los ataques automatizados.
- Realiza revisiones periódicas de "quién es quién" en el acceso al sistema (porque Jake de contabilidad, que se fue hace 6 meses, no debería seguir teniendo credenciales de inicio de sesión)
- Mantente atento a actividades extrañas (como inicios de sesión a las 3 AM desde el extranjero; pregúntale a MGM Resorts sobre su filtración por ingeniería social).
La clave es integrar estas bases de seguridad en la rutina, no solo como una solución única.
Establece revisiones de seguridad mensuales, crea procesos claros para la desvinculación de empleados y asegúrate de que todos conozcan la importancia de las contraseñas seguras y la autenticación de dos factores (2FA). Un poco de prevención ayuda mucho a mantener seguros los datos de tus candidatos.
No trates a la IA como un guardia de seguridad
El hecho de que tengas IA de tu lado no significa que puedas relajarte. De hecho, las herramientas de reclutamiento impulsadas por IA necesitan un escrutinio de seguridad aún mayor.
Tu lista de verificación de seguridad de IA:
- Usa la tecnología para mejorar tu seguridad, no para reemplazarla (la IA puede detectar patrones, pero no puede sustituir la supervisión humana).
- Programa revisiones de seguridad periódicas. Mensualmente como mínimo.
- Documenta todo (porque todos sabemos que la memoria no es confiable).
Si bien la IA puede procesar grandes cantidades de datos y detectar patrones que los humanos podrían pasar por alto, también puede cometer errores muy costosos si no se supervisa.
Trata los datos de los candidatos como oro
Tus postulantes confían mucho en ti. Cada currículum, cada correo electrónico, cada registro de chat representa las esperanzas profesionales y los detalles personales de alguien.
Estos consejos te ayudarán a mantener sus datos protegidos:
- Solo pide lo que realmente necesitas
- Cifra todo
- Escribe tus reglas de datos y síguelas
¿No sabes por dónde empezar? Crea una auditoría de recolección de datos. Si no puedes justificar por qué necesitas un dato para la decisión de contratación, no lo recopiles.
Sabe cuándo usar (¡y cuándo no!) la IA
El fiasco de McDonald's no se trata solo de contraseñas, sino de saber el lugar de la IA en tu proceso de contratación.
Aquí tienes tu guía de referencia rápida:
La IA es ideal para:
- Filtro inicial de currículums (con supervisión humana)
- Programación de entrevistas
- Comunicaciones básicas con candidatos
- Generación de preguntas para entrevistas
- Análisis de datos e informes
Mantén a los humanos a cargo de:
- Selección final de candidatos
- Manejo de datos sensibles
- Monitoreo de sesgos
- Comunicaciones con candidatos
- Decisiones estratégicas de contratación
Crea pautas claras sobre cuándo tu equipo debe y no debe usar la IA. Por ejemplo, los datos sensibles de los candidatos nunca deben introducirse en herramientas públicas de IA, incluso si parece más eficiente.
Cómo Breezy mantiene fuera a los intrusos (mientras deja entrar a los buenos)
Lo entendemos. Toda esta charla sobre seguridad puede resultar abrumadora. Por eso hemos integrado seguridad de nivel empresarial en el ADN de Breezy. Así es como Breezy ayuda a proteger los datos de tus candidatos:
Cumplimiento del RGPD integrado (porque a nadie le gustan las multas sorpresa)
¿Recuerdas esas multas millonarias del RGPD que mencionamos? Sí, te ayudamos a evitarlas:
- Controles automatizados de retención de datos
- Seguimiento del consentimiento del candidato
- Solicitudes sencillas de acceso a datos del interesado
- Gestión de avisos de privacidad
- Actualizaciones periódicas de cumplimiento
Seguridad que funciona mientras duermes
Olvídate de desvelarte pensando si los datos de tus candidatos están seguros. Breezy te ofrece:
- Autenticación multifactor estándar
- Controles de acceso basados en roles
- Actualizaciones de seguridad automatizadas
- Registro y monitoreo de actividad
- Cifrado seguro de datos
IA bien hecha
No te arriesgues con la IA:
- No hay modelos de IA públicos para datos sensibles
- Herramientas de selección seguras y supervisadas
- Procedimientos claros de manejo de datos
- Auditorías de seguridad periódicas
¿Lo mejor de todo? Todas estas funciones operan automáticamente en segundo plano mientras te enfocas en lo más importante: encontrar y contratar a las mejores personas.
Contratación más inteligente y segura en la era de la IA
Las herramientas de reclutamiento con IA no son las villanas de esta historia. Pero el incidente de McHire es una llamada de atención: los empleadores deben ser inteligentes en cuanto a la seguridad.
Recuerda, no solo estás procesando solicitudes, estás salvaguardando los sueños y la información personal de las personas. Trata esa responsabilidad con el respeto que se merece.
¿Quieres asegurarte de que tu proceso de contratación sea eficiente Y seguro? Descubre cómo el sistema de Breezy seguridad de nivel empresarial mantiene seguros los datos de tus candidatos.
