Eater
OpenAI meldt datalek bij API-klanten na hack van derde partij Mixpanel
OpenAI informeert enkele klanten van de ChatGPT API dat beperkte persoonsgegevens zijn gelekt na een beveiligingsincident bij hun externe partner voor analysetools, Mixpanel.
Mixpanel verzorgt event-analytics die OpenAI gebruikt om gebruikersinteracties op de frontend van de API in kaart te brengen. De cyberaanval had volgens OpenAI alleen invloed op “beperkte analysetgegevens van sommige API-gebruikers” en trof geen gebruikers van ChatGPT of andere producten.
“Dit was geen inbreuk op de systemen van OpenAI zelf. Er zijn geen chats, API-verzoeken, gebruiksgegevens, wachtwoorden, inloggegevens, API-sleutels, betaalgegevens of overheidsdocumenten gelekt of blootgesteld,” aldus OpenAI in een verklaring.
Mixpanel meldde dat de aanval “een beperkt aantal van onze klanten” raakte en werd veroorzaakt door een smishing-campagne (SMS phishing) die het bedrijf op 8 november ontdekte.
OpenAI ontving de details van de getroffen dataset op 25 november, nadat Mixpanel haar lopend onderzoek had afgerond.
De gelekte informatie kan de volgende gegevens bevatten:
- Naam zoals opgegeven bij het API-account
- E-mailadres gekoppeld aan het API-account
- Globale locatie op basis van de browser (stad, provincie, land)
- Besturingssysteem en browser gebruikt voor toegang tot het API-account
- Verwijzende websites
- Organisatie- of gebruikers-ID’s gerelateerd aan het API-account
Omdat er geen gevoelige gegevens zijn gelekt, hoeven gebruikers hun wachtwoorden niet te wijzigen of API-sleutels te vervangen.
Sommige gebruikers melden dat ook CoinTracker, een platform voor het beheren van cryptovaluta en belastingaangiften, getroffen is. Bij CoinTracker zou eveneens metadata over apparaten en beperkte transactiegegevens gelekt zijn.
OpenAI is een onderzoek gestart om de volledige impact van het incident te achterhalen. Uit voorzorg heeft het bedrijf Mixpanel verwijderd uit haar productieomgeving en neemt zij rechtstreeks contact op met organisaties, beheerders en individuele gebruikers.
Hoewel alleen API-gebruikers getroffen zijn, informeert OpenAI al haar abonnees over het voorval.
De waarschuwing luidt dat de gelekte gegevens gebruikt zouden kunnen worden voor phishing of social-engineering aanvallen. Gebruikers worden daarom gewaarschuwd alert te zijn op ogenschijnlijk betrouwbare, maar kwaadaardige berichten die met het incident te maken hebben.
Berichten met links of bijlagen dienen gecontroleerd te worden om zeker te zijn dat ze van een officieel OpenAI-domein komen.
Verder raadt het bedrijf aan om tweestapsverificatie (2FA) te activeren en nooit gevoelige informatie, zoals wachtwoorden, API-sleutels of verificatiecodes, via e-mail, sms of chat te delen.
Volgens Mixpanel CEO Jen Taylor zijn alle getroffen klanten direct geïnformeerd. “Als u nog niets van ons hebt gehoord, bent u niet geraakt,” benadrukte ze.
Als reactie op de aanval heeft Mixpanel getroffen accounts beveiligd, actieve sessies beëindigd, gecompromitteerde gegevens gewijzigd, IP-adressen van de aanvaller geblokkeerd en wachtwoorden van alle medewerkers gereset. Ook zijn nieuwe veiligheidsmaatregelen ingevoerd om herhaling te voorkomen.
