OpenAI немедленно удалила Mixpanel из всех рабочих сервисов

OpenAI подтвердила 27 ноября, что нарушение безопасности в Mixpanel, стороннем провайдере аналитики, привело к раскрытию ограниченных пользовательских данных клиентов API-платформы. Инцидент, который произошёл в системах Mixpanel и не затронул инфраструктуру OpenAI, побудил компанию по искусственному интеллекту прекратить отношения с этим поставщиком и начать комплексные проверки безопасности поставщиков.

Mixpanel обнаружила несанкционированный доступ к своим системам 9 ноября после того, как злоумышленник получил повышенные привилегии посредством фишинговой атаки через SMS, также известной как «смишинг». Злоумышленник экспортировал набор данных, содержащий идентифицирующую информацию клиентов и аналитические данные. Mixpanel уведомила OpenAI в тот же день, но не предоставила затронутый набор данных до 25 ноября.

Какие данные были раскрыты

Скомпрометированная информация включает имена, указанные в аккаунтах API, адреса электронной почты, приблизительные данные о местоположении на основе метаданных браузера, такие как город и штат, информацию о операционной системе и браузере, сайты-рефереры, а также идентификаторы организаций или пользователей, связанных с аккаунтами API.

OpenAI подчеркнула, что никаких чувствительных данных скомпрометировано не было. Журналы чатов, запросы к API, данные об использовании API, пароли, учетные данные, ключи API, платежные данные и документы, удостоверяющие личность, не были раскрыты. Пользователи ChatGPT и другие потребительские продукты OpenAI не пострадали в результате утечки.

Более широкие последствия

Взлом Mixpanel затронул несколько компаний помимо OpenAI. CoinTracker, платформа для налогового учета криптовалют, сообщила, что в результате того же инцидента были раскрыты адреса электронной почты пользователей, их географическое положение и метаданные устройств. Широкий масштаб воздействия вызвал обеспокоенность по поводу безопасности сторонних поставщиков в технологическом секторе.

OpenAI предупредила, что раскрытая информация может быть использована в фишинговых или социоинженерных атаках, и призвала пользователей быть бдительными в отношении подозрительных сообщений. Компания подчеркнула, что никогда не запрашивает пароли, API-ключи или коды подтверждения по электронной почте, SMS или в чате.

В ответ на инцидент OpenAI немедленно удалила Mixpanel из всех рабочих сервисов и приступила к усиленной проверке безопасности во всей своей экосистеме поставщиков. «Доверие, безопасность и конфиденциальность — это основа наших продуктов, нашей организации и нашей миссии», — заявила OpenAI, добавив, что предъявляет своим партнерам и поставщикам требования к высочайшим стандартам безопасности.