De la incidente care au afectat giganții din tehnologie până la escrocherii prin SMS care au ajuns la utilizatori obișnuiți, OpenAI anunță că unele date de identificare ale utilizatorilor API-ului ChatGPT au fost expuse în urma unei breșe la Mixpanel, furnizorul său de analiză a evenimentelor folosit pentru monitorizarea interacțiunilor pe interfața frontend a API-ului. Anunțul apare într-un context de interes sporit pentru riscurile generate de terți în lanțurile tehnologice moderne, când un furnizor considerat periferic poate lăsa urme vizibile ale traficului de date.
OpenAI afirmă clar că incidentul nu a compromis sistemele sale interne și că nu au fost afectate conversațiile, cererile API, datele de utilizare, parolele, credențialele, cheile API, detaliile de plată sau actele de identitate emise de stat. Mixpanel a raportat că atacul a vizat un număr restrâns de clienți și a provenit dintr-o campanie de smishing (phishing prin SMS), detectată pe 8 noiembrie. OpenAI a primit informații despre setul de date afectat pe 25 noiembrie, ca urmare a investigației declanșate de Mixpanel. Datele expuse pot include numele afișat pe contul API, adresa de email asociată, locația aproximativă la nivel de oraș sau județ determinată din browser, sistemul de operare și browserul utilizat, site-urile care au referit traficul și ID-uri de organizație sau de utilizator legate de cont. Deoarece nu au fost divulgate credențiale sensibile, utilizatorii nu sunt obligați să își reseteze parolele sau să regenereze cheile API. Anumite semnale ale utilizatorilor indică și afectarea CoinTracker, o platformă pentru urmărirea portofoliilor cripto și pentru declarații fiscale, cu date expuse ce includ metadatele dispozitivului și un număr limitat de tranzacții. OpenAI a demarat o anchetă internă pentru a estima amploarea incidentului, a scos Mixpanel din mediul de producție și a notificat direct organizațiile, administratorii și utilizatorii individuali. Deși impactul pare să fi vizat în principal utilizatorii API, compania a informat toți abonații. OpenAI avertizează că datele scurse pot fi folosite pentru atacuri de tip phishing sau inginerie socială și recomandă atenție sporită la mesaje care par legitime și solicită informații sau conțin linkuri și atașamente, verificând întotdeauna proveniența pe un domeniu oficial OpenAI. De asemenea, recomandă activarea autentificării în doi pași și evitarea trimiterii prin email, SMS sau chat a informațiilor sensibile precum parole, chei API sau coduri de verificare. În urma atacului, Mixpanel a contactat direct clienții afectați, a securizat conturile compromise prin revocarea sesiunilor active, înlocuirea credențialelor compromise, blocarea adreselor IP folosite de atacatori și resetarea parolelor angajaților, și susține că a implementat controale noi pentru a preveni incidente similare.
Mixpanel a identificat campania de smishing pe 8 noiembrie. Riscul asociat furnizorilor terți și canalelor simple precum SMS rămâne real; vigilența la verificarea mesajelor, segmentarea accesului și utilizarea 2FA sunt măsuri practice. Investițiile în audituri de securitate și în proceduri de răspuns pot diminua impactul unui incident similar. Ce opinie ai despre măsurile pe care ar trebui să le adopte companiile care folosesc servicii terțe pentru analiză?
Fii primul care comentează