OpenAI ha confermato che una violazione della sicurezza presso Mixpanel, uno dei suoi fornitori di analisi esterni, ha comportato l'esposizione di informazioni di profilo limitate appartenenti ad alcuni utenti dei suoi servizi API.

L'incidente è avvenuto il nove novembre quando Mixpanel ha rilevato che un attaccante aveva avuto accesso ai propri sistemi ed esportato dati legati al dashboard di analisi API di OpenAI.

Secondo OpenAI, le informazioni compromesse includevano nomi utente, indirizzi email, posizione geografica approssimativa, dettagli del browser e del sistema operativo, informazioni di riferimento e identificatori interni dell'account.

Nessun contenuto delle chat, dati di pagamento, chiavi API, password o altre credenziali di autenticazione sensibili sono state esposte, e gli utenti regolari di ChatGPT non sono stati colpiti.

Dopo la conferma della violazione, OpenAI ha immediatamente rimosso Mixpanel dal proprio ambiente di produzione, ha interrotto tutte le condivisioni di dati con il servizio e ha iniziato a notificare direttamente ai clienti API colpiti.

L'azienda si è anche impegnata a inasprire i requisiti di sicurezza per i fornitori e a rivedere tutte le integrazioni di terze parti.

Sebbene le informazioni trapelate siano considerate di bassa sensibilità, gli specialisti di sicurezza informatica avvertono che potrebbero comunque consentire campagne di phishing mirato o ingegneria sociale.

OpenAI ha consigliato agli utenti API di rimanere attenti a comunicazioni sospette, ma ha dichiarato che i reset delle password non sono necessari, poiché nessuna credenziale di accesso è stata rubata.

L'incidente mette in luce i rischi più ampi che sorgono quando le grandi aziende tecnologiche si affidano a fornitori di analisi esterni.

Mentre OpenAI continua la propria indagine, l'azienda afferma che rafforzerà il controllo sui suoi partner della catena di fornitura e perfezionerà le proprie politiche di condivisione dei dati interni per prevenire vulnerabilità simili in futuro.