OpenAI сообщает об утечке данных клиентов API в результате взлома поставщика Mixpanel
OpenAI уведомляет некоторых клиентов ChatGPT API о том, что в результате взлома стороннего поставщика аналитических услуг Mixpanel была раскрыта ограниченная идентифицирующая информация.
Mixpanel предлагает аналитику событий, которую OpenAI использует для отслеживания взаимодействия пользователей с интерфейсом API.
По данным компании, занимающейся искусственным интеллектом, кибератака затронула «ограниченный объём аналитических данных, связанных с некоторыми пользователями API», и не повлияла на пользователей ChatGPT или других продуктов.
«Это не было взломом систем OpenAI. Ни чат, ни запросы к API, ни данные об использовании API, ни пароли, ни учётные данные, ни ключи API, ни платёжные реквизиты, ни государственные идентификаторы не были скомпрометированы или раскрыты», говорится в пресс-релизе OpenAI.
Mixpanel сообщила, что атака «затронула ограниченное число наших клиентов» и была результатом смишинга (SMS-фишинга), который компания обнаружила 8 ноября.
OpenAI получила подробную информацию о затронутом наборе данных 25 ноября после того, как ей сообщили о продолжающемся расследовании Mixpanel.
Компания, занимающаяся искусственным интеллектом, отмечает, что раскрытая информация может включать:
- Имя, указанное в аккаунте API
- Адрес электронной почты, связанный с аккаунтом API
- Приблизительное местоположение, определенное на основе браузера пользователя API (город, штат, страна)
- Операционная система и браузер, использованные для доступа к аккаунту API
- Связанные с аккаунтом API веб-сайты
- Идентификаторы организации или пользователя, связанные с аккаунтом API
Поскольку конфиденциальные данные не были раскрыты, пользователям не нужно сбрасывать пароли или генерировать ключи API заново.
Некоторые пользователи сообщают, что CoinTracker, платформа для отслеживания криптовалютных портфелей и уплаты налогов, также подверглась атаке, в результате которой были раскрыты данные, в том числе метаданные устройства и ограниченное количество транзакций.
Компания OpenAI начала расследование, чтобы установить все обстоятельства инцидента. В качестве меры предосторожности компания отключила Mixpanel от своих производственных сервисов и напрямую уведомляет об этом организации, администраторов и отдельных пользователей.
Хотя OpenAI подчёркивает, что это коснётся только пользователей её API, компания уведомила всех своих подписчиков.
Компания предупреждает, что утечка данных может быть использована для фишинга или атак с применением социальной инженерии, и советует пользователям обращать внимание на правдоподобные вредоносные сообщения, связанные с этим инцидентом.
Сообщения, содержащие ссылки или вложения, следует проверять, чтобы убедиться, что они отправлены с официального домена OpenAI.
Компания также призывает пользователей включить двухфакторную аутентификацию и никогда не отправлять конфиденциальную информацию, включая пароли, ключи API или коды подтверждения, по электронной почте, в текстовых сообщениях или в чате.
Генеральный директор Mixpanel Джен Тейлор сообщила, что со всеми пострадавшими клиентами была установлена прямая связь. «Если вы не получили от нас никаких сообщений, значит, вы не пострадали», — отметила она.
В ответ на атаку компания Mixpanel защитила затронутые аккаунты, отменила активные сеансы и входы в систему, сменила скомпрометированные учётные данные, заблокировала IP-адреса злоумышленников и сбросила пароли для всех сотрудников. Компания также внедрила новые средства контроля для предотвращения подобных инцидентов в будущем.
Редактор: AndreyEx
