OpenAI mengungkapkan pelanggaran data pelanggan API melalui peretasan vendor Mixpanel

OpenAI memberi tahu beberapa pelanggan API ChatGPT bahwa informasi identifikasi terbatas terungkap setelah pelanggaran pada penyedia analisis pihak ketiga, Mixpanel.

Mixpanel menawarkan analisis peristiwa yang digunakan OpenAI untuk melacak interaksi pengguna di antarmuka frontend untuk produk API.

Menurut perusahaan AI tersebut, insiden dunia maya tersebut memengaruhi “data analisis terbatas terkait beberapa pengguna API” dan tidak berdampak pada pengguna ChatGPT atau produk lainnya.

“Ini bukan pelanggaran sistem OpenAI. Tidak ada obrolan, permintaan API, data penggunaan API, kata sandi, kredensial, kunci API, detail pembayaran, atau ID pemerintah yang disusupi atau diekspos,” OpenAI mengatakan dalam siaran pers.

panel campuran dilaporkan bahwa serangan tersebut “berdampak pada sejumlah pelanggan kami” dan diakibatkan oleh kampanye smishing (SMS phishing) yang terdeteksi oleh perusahaan pada tanggal 8 November.

OpenAI menerima rincian kumpulan data yang terpengaruh pada tanggal 25 November setelah diberitahu tentang penyelidikan Mixpanel yang sedang berlangsung.

Perusahaan AI mencatat bahwa informasi yang terungkap dapat mencakup:

• Nama yang diberikan kepada kami di akun API
• Alamat email yang terkait dengan akun API
• Perkiraan lokasi kasar berdasarkan browser pengguna API (kota, negara bagian, negara)
• Sistem operasi dan browser yang digunakan untuk mengakses akun API
• Merujuk situs web
• Organisasi atau ID Pengguna yang terkait dengan akun API

Karena tidak ada kredensial sensitif yang terungkap, pengguna tidak perlu menyetel ulang sandi atau membuat ulang kunci API.

Beberapa pengguna memang demikian pelaporan bahwa CoinTracker, pelacak portofolio mata uang kripto dan platform pajak, juga terkena dampaknya, dengan data yang terbuka termasuk metadata perangkat dan jumlah transaksi yang terbatas.

OpenAI telah memulai penyelidikan untuk menentukan cakupan penuh dari insiden tersebut. Sebagai tindakan pencegahan, mereka telah menghapus Mixpanel dari layanan produksinya dan memberi tahu organisasi, administrator, dan pengguna individu secara langsung.

Meskipun OpenAI menggarisbawahi bahwa hanya pengguna API-nya yang terkena dampak, OpenAI memberi tahu semua pelanggannya.

Perusahaan memperingatkan bahwa data yang bocor dapat dimanfaatkan dalam serangan phishing atau rekayasa sosial dan menyarankan pengguna untuk mewaspadai pesan-pesan jahat yang tampak kredibel terkait dengan insiden tersebut.

Pesan yang berisi tautan atau lampiran harus diverifikasi untuk memastikan pesan tersebut berasal dari domain resmi OpenAI.

Perusahaan juga mendesak pengguna untuk mengaktifkan 2FA dan tidak pernah mengirimkan informasi sensitif, termasuk kata sandi, kunci API, atau kode verifikasi, melalui email, teks, atau obrolan.

CEO Mixpanel, Jen Taylor, mengatakan seluruh pelanggan yang terkena dampak telah dihubungi secara langsung. “Jika Anda belum mendengar kabar dari kami, Anda tidak terkena dampaknya,” katanya.

Menanggapi serangan tersebut, Mixpanel mengamankan akun yang terkena dampak, mencabut sesi aktif dan proses masuk, merotasi kredensial yang disusupi, memblokir alamat IP pelaku ancaman, dan mengatur ulang kata sandi untuk semua karyawan. Perusahaan juga telah menerapkan kontrol baru untuk mencegah insiden serupa di masa depan.