一家知名餐飲品牌使用的AI招聘平臺被發(fā)現存在嚴重安全漏洞，導致約6400萬求職者的個人信息面臨泄露風險。這個平臺由第三方公司開發(fā)，其AI聊天機器人負責處理求職申請，比如收集簡歷、安排面試和做性格測試。
漏洞是如何被發(fā)現的？
安全研究人員在2025年6月底的測試中發(fā)現平臺有兩個非?！暗图墶眳s致命的問題：
1、管理員登錄頁面竟然使用默認的弱密碼“123456”作為用戶名和密碼，而且沒有啟用“雙重驗證”（MFA），攻擊者可以像用萬能鑰匙一樣輕松進入存放所有數據的關鍵后臺。
2、平臺內部的數據接口存在嚴重缺陷，攻擊者只要修改一下網址鏈接里的求職者ID數字（比如把數字減小一點），就能直接看到其他求職者的私密信息，完全不需要任何授權。
泄露了什么？后果有多嚴重？
這次暴露的數據量巨大，包含了2017年以來全球申請者的記錄，涉及姓名、郵箱、電話、住址、求職狀態(tài)、與AI的聊天記錄、性格測試結果，更危險的是身份驗證令牌（相當于可以冒充你登錄賬號的“臨時身份證”）。
這些信息的泄露會帶來長期風險，拿到“身份驗證令牌”的騙子可以直接登錄你的賬戶。聊天記錄里你透露的工作偏好、性格特點，會被騙子用來設計“量身定制”的釣魚郵件或電話，讓你更容易上當。結合AI工具，騙子還能生成非常逼真的詐騙內容，欺騙性極高。
暴露的核心問題：缺乏網絡安全意識
事件根源在于企業(yè)忽視基礎安全規(guī)范，缺乏網絡安全意識：供應商未隔離測試環(huán)境、使用致命弱密碼、放任權限漏洞；使用方未嚴格審核供應商資質。這直接違反了《網絡安全法》關于禁止未授權訪問的規(guī)定，以及2024年新國標強制要求啟用雙重驗證并禁用默認密碼的條款。要避免類似安全事故，企業(yè)必須禁用弱密碼、強制啟用雙重驗證、實施最小權限原則，并將安全認證納入供應商合約。
然而，平臺漏洞僅是網絡威脅的冰山一角。大量企業(yè)因未部署SSL證書，正面臨更廣泛的安全風險：當用戶通過瀏覽器訪問企業(yè)網站時，如果缺乏SSL證書加密保護，所有傳輸數據（如登錄密碼、支付信息、個人資料）如同在公共場合大聲喊出，極易被不法分子竊取。更危險的是，未加密網站極易被克隆仿冒，釣魚網站通過相似域名和界面欺騙用戶提交敏感信息，企業(yè)品牌信譽與客戶資產將雙雙受損。瀏覽器對未部署SSL證書的網站明確標注“不安全”警告，不僅降低用戶信任度，更直接影響業(yè)務轉化。
專業(yè)SSL證書正是解決這些核心問題的關鍵盾牌：
高強度加密通道：在用戶瀏覽器和企業(yè)服務器之間建立綠色安全加密通道，確保傳輸數據全程不可窺探、不可篡改，徹底解決“數據裸奔”問題。
身份真實性驗證：通過權威機構嚴格審核網站所有者身份，在用戶訪問時顯示企業(yè)認證信息，使釣魚網站無法通過仿冒手段欺騙用戶。
可視化信任標識：部署后瀏覽器地址欄顯示安全鎖標志及“HTTPS”前綴，明確告知用戶當前連接安全可信，提升品牌形象與交易信心。
滿足法規(guī)強制要求：《網絡安全法》《數據安全法》等均要求對個人信息傳輸加密處理，SSL證書是實現合規(guī)的基礎設施。
網絡安全防線不能僅依賴單一環(huán)節(jié)。從AI系統(tǒng)后臺權限管理，到官網數據傳輸通道，每一處疏漏都可能引發(fā)災難性后果。部署SSL證書已非“可選功能”，而是守護企業(yè)生命線與用戶信任的當務之急。在數據泄露與網絡詐騙高發(fā)的時代，主動筑牢加密防線、切斷信息泄露源頭，是企業(yè)對用戶負責的基本擔當。
關于CnTrus數字認證
CnTrus數字認證，遵照《中華人民共和國電子簽名法》《中華人民共和國密碼法》等多部法律自主研發(fā)的數字認證根證書，支持國密和國際雙算法，簽發(fā)的根證書支持所有瀏覽器、服務器和移動終端。
自2011年開展互聯網數字安全認證以來，應用覆蓋政務、醫(yī)療、電商、教育、金融、電信、物流等多個領域，為50000+企事業(yè)單位互聯網安全可信保駕護航，覆蓋超10億網民用戶，目前已發(fā)展成為國內領先的數字認證服務品牌，是中國互聯網安全認證行業(yè)龍頭企業(yè)。
CnTrus數字認證中心的運營及技術支持單位為浙江葫蘆娃數字認證有限公司，是國家高新技術企業(yè)、杭州市重大科技創(chuàng)新企業(yè)，通過公安部國家信息安全等級保護三級測評，獲準國際ISO27001信息安全管理體系認證。