
OpenAI on vahvistanut, että sen API-palvelun käyttäjiin liittyvää dataa on päätynyt ulkopuolisen hyökkääjän haltuun Mixpanel-analytiikkatyökalun kautta. Kyse ei ollut OpenAI:n omien järjestelmien murrosta, vaan tietoturvapoikkeama tapahtui Mixpanelin ympäristössä. ChatGPT-käyttäjiin tapaus ei vaikuttanut.
Vuotanut tieto oli analytiikkadataa, jota kerättiin platform.openai.com-sivuston API-käyttäjistä. Mukana saattoi olla käyttäjätilin nimi, sähköpostiosoite, selaimen perusteella määritelty karkea sijainti, käyttöjärjestelmä ja selain, viittaavat sivustot sekä OpenAI-tiliin liitetyt organisaatio- ja käyttäjä-ID:t. Selvästi arkaluonteisempaa tietoa – kuten chat-sisältöjä, API-kutsuja, salasanoja, API-avaimia, maksutietoja tai henkilöllisyysdokumentteja – ei ollut mukana.
Mixpanel havaitsi hyökkäyksen 9. marraskuuta ja toimitti OpenAI:lle tarkemman aineiston 25. marraskuuta. OpenAI kertoi poistaneensa Mixpanelin käytöstä välittömästi, aloittaneensa oman tutkinnan ja ilmoittavansa kaikille vaikutetuille käyttäjille suoraan. Samalla yhtiö sanoo nostavansa kaikkien kumppaneidensa tietoturvavaatimuksia ja tarkastelevansa vendor-ekosysteemiään laajasti.
Vaikka vahinko koskee rajattua analytiikkadataa, OpenAI kehottaa käyttäjiä varovaisuuteen erityisesti mahdollisten phishing-yritysten varalta. Vuotaneita tietoja voidaan periaatteessa käyttää uskottavien huijausviestien räätälöintiin. Yhtiö muistuttaa, ettei se koskaan kysy salasanoja, API-avaimia tai MFA-koodeja sähköpostitse. Monivaiheinen tunnistautuminen kannattaa aktivoida, jos se ei ole jo käytössä.
OpenAI korostaa, että sen järjestelmiin ei päästy käsiksi eikä API- tai ChatGPT-sisältöjä vaarannettu. Tapauksen johdosta palveluntarjoaja on kuitenkin katkaissut yhteistyön Mixpanelin kanssa ja jatkaa tapahtuneen ympäristövalvontaa sekä partnereiden auditointia.






















