一家知名餐飲品牌使用的AI招聘平臺被發(fā)現(xiàn)存在嚴(yán)重安全漏洞，導(dǎo)致約6400萬求職者的個(gè)人信息面臨泄露風(fēng)險(xiǎn)。這個(gè)平臺由第三方公司開發(fā)，其AI聊天機(jī)器人負(fù)責(zé)處理求職申請，比如收集簡歷、安排面試和做性格測試。
漏洞是如何被發(fā)現(xiàn)的？
安全研究人員在2025年6月底的測試中發(fā)現(xiàn)平臺有兩個(gè)非常“低級”卻致命的問題：
1、管理員登錄頁面竟然使用默認(rèn)的弱密碼“123456”作為用戶名和密碼，而且沒有啟用“雙重驗(yàn)證”（MFA），攻擊者可以像用萬能鑰匙一樣輕松進(jìn)入存放所有數(shù)據(jù)的關(guān)鍵后臺。
2、平臺內(nèi)部的數(shù)據(jù)接口存在嚴(yán)重缺陷，攻擊者只要修改一下網(wǎng)址鏈接里的求職者ID數(shù)字（比如把數(shù)字減小一點(diǎn)），就能直接看到其他求職者的私密信息，完全不需要任何授權(quán)。
泄露了什么？后果有多嚴(yán)重？
這次暴露的數(shù)據(jù)量巨大，包含了2017年以來全球申請者的記錄，涉及姓名、郵箱、電話、住址、求職狀態(tài)、與AI的聊天記錄、性格測試結(jié)果，更危險(xiǎn)的是身份驗(yàn)證令牌（相當(dāng)于可以冒充你登錄賬號的“臨時(shí)身份證”）。
這些信息的泄露會帶來長期風(fēng)險(xiǎn)，拿到“身份驗(yàn)證令牌”的騙子可以直接登錄你的賬戶。聊天記錄里你透露的工作偏好、性格特點(diǎn)，會被騙子用來設(shè)計(jì)“量身定制”的釣魚郵件或電話，讓你更容易上當(dāng)。結(jié)合AI工具，騙子還能生成非常逼真的詐騙內(nèi)容，欺騙性極高。
暴露的核心問題：缺乏網(wǎng)絡(luò)安全意識
事件根源在于企業(yè)忽視基礎(chǔ)安全規(guī)范，缺乏網(wǎng)絡(luò)安全意識：供應(yīng)商未隔離測試環(huán)境、使用致命弱密碼、放任權(quán)限漏洞；使用方未嚴(yán)格審核供應(yīng)商資質(zhì)。這直接違反了《網(wǎng)絡(luò)安全法》關(guān)于禁止未授權(quán)訪問的規(guī)定，以及2024年新國標(biāo)強(qiáng)制要求啟用雙重驗(yàn)證并禁用默認(rèn)密碼的條款。要避免類似安全事故，企業(yè)必須禁用弱密碼、強(qiáng)制啟用雙重驗(yàn)證、實(shí)施最小權(quán)限原則，并將安全認(rèn)證納入供應(yīng)商合約。
然而，平臺漏洞僅是網(wǎng)絡(luò)威脅的冰山一角。大量企業(yè)因未部署SSL證書，正面臨更廣泛的安全風(fēng)險(xiǎn)：當(dāng)用戶通過瀏覽器訪問企業(yè)網(wǎng)站時(shí)，如果缺乏SSL證書加密保護(hù)，所有傳輸數(shù)據(jù)（如登錄密碼、支付信息、個(gè)人資料）如同在公共場合大聲喊出，極易被不法分子竊取。更危險(xiǎn)的是，未加密網(wǎng)站極易被克隆仿冒，釣魚網(wǎng)站通過相似域名和界面欺騙用戶提交敏感信息，企業(yè)品牌信譽(yù)與客戶資產(chǎn)將雙雙受損。瀏覽器對未部署SSL證書的網(wǎng)站明確標(biāo)注“不安全”警告，不僅降低用戶信任度，更直接影響業(yè)務(wù)轉(zhuǎn)化。
專業(yè)SSL證書正是解決這些核心問題的關(guān)鍵盾牌：
高強(qiáng)度加密通道：在用戶瀏覽器和企業(yè)服務(wù)器之間建立綠色安全加密通道，確保傳輸數(shù)據(jù)全程不可窺探、不可篡改，徹底解決“數(shù)據(jù)裸奔”問題。
身份真實(shí)性驗(yàn)證：通過權(quán)威機(jī)構(gòu)嚴(yán)格審核網(wǎng)站所有者身份，在用戶訪問時(shí)顯示企業(yè)認(rèn)證信息，使釣魚網(wǎng)站無法通過仿冒手段欺騙用戶。
可視化信任標(biāo)識：部署后瀏覽器地址欄顯示安全鎖標(biāo)志及“HTTPS”前綴，明確告知用戶當(dāng)前連接安全可信，提升品牌形象與交易信心。
滿足法規(guī)強(qiáng)制要求：《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》等均要求對個(gè)人信息傳輸加密處理，SSL證書是實(shí)現(xiàn)合規(guī)的基礎(chǔ)設(shè)施。
網(wǎng)絡(luò)安全防線不能僅依賴單一環(huán)節(jié)。從AI系統(tǒng)后臺權(quán)限管理，到官網(wǎng)數(shù)據(jù)傳輸通道，每一處疏漏都可能引發(fā)災(zāi)難性后果。部署SSL證書已非“可選功能”，而是守護(hù)企業(yè)生命線與用戶信任的當(dāng)務(wù)之急。在數(shù)據(jù)泄露與網(wǎng)絡(luò)詐騙高發(fā)的時(shí)代，主動筑牢加密防線、切斷信息泄露源頭，是企業(yè)對用戶負(fù)責(zé)的基本擔(dān)當(dāng)。
關(guān)于CnTrus數(shù)字認(rèn)證
CnTrus數(shù)字認(rèn)證，遵照《中華人民共和國電子簽名法》《中華人民共和國密碼法》等多部法律自主研發(fā)的數(shù)字認(rèn)證根證書，支持國密和國際雙算法，簽發(fā)的根證書支持所有瀏覽器、服務(wù)器和移動終端。
自2011年開展互聯(lián)網(wǎng)數(shù)字安全認(rèn)證以來，應(yīng)用覆蓋政務(wù)、醫(yī)療、電商、教育、金融、電信、物流等多個(gè)領(lǐng)域，為50000+企事業(yè)單位互聯(lián)網(wǎng)安全可信保駕護(hù)航，覆蓋超10億網(wǎng)民用戶，目前已發(fā)展成為國內(nèi)領(lǐng)先的數(shù)字認(rèn)證服務(wù)品牌，是中國互聯(lián)網(wǎng)安全認(rèn)證行業(yè)龍頭企業(yè)。
CnTrus數(shù)字認(rèn)證中心的運(yùn)營及技術(shù)支持單位為浙江葫蘆娃數(shù)字認(rèn)證有限公司，是國家高新技術(shù)企業(yè)、杭州市重大科技創(chuàng)新企業(yè)，通過公安部國家信息安全等級保護(hù)三級測評，獲準(zhǔn)國際ISO27001信息安全管理體系認(rèn)證。