OpenAI подтвердила инцидент утечки у стороннего провайдера аналитики Mixpanel.
Mixpanel обнаружил несанкционированный доступ 9 ноября 2025 года, уведомила OpenAI 25 ноября.
Затронутые данные (только API-продукты OpenAI):
- имя, которое было предоставлено в учетной записи API;
- адрес электронной почты, связанный с учетной записью API;
- примерное местоположение на основе API браузера пользователя (город, штат, страна);
- OC и браузер, используемые для доступа к учетной записи API;
- ссылающиеся сайты;
- идентификаторы организаций или пользователей, связанные с учетной записью API.
Нет полной информации о том, как долго был доступ, сколько пользователей затронуто, ограничилась ли утечка объявленными полями.
OpenAI немедленно удалила Mixpanel и начала проверку всех сторонних поставщиков.
👀 В чем риск для пользователей?
Эта комбинация данных точно подтверждает, что вы являетесь клиентом OpenAI API = отличная база для персонализированного фишинга и попыток выманить API-ключи.
Если пользователь использовал то же имя пользователя (email) и простой пароль на другом сайте = риск взлома.
Что сделать пользователям OpenAI API:
▪️ включите MFA/2FA (+ на почте, связанной с аккаунтом и на всех корпоративных учетных записях, связанных с API);
▪️проявите высокую бдительность к фишингу ( не переходите по ссылкам в подозрительных письмах, не вводите пароли или ключи API в ответ на email/смс/чат, проверяйте домен отправителя);
▪️ротация ключей API ( сгенерировать новые ключи API и отозвать старые, особенно если вы беспокоитесь о том, что ключи могли быть случайно зарегистрированы в аналитических событиях).
▪️ограничьте права ключей и используйте scoped keys;
▪️убедитесь, что все разработчики и администраторы вашей организации, использующие API, проинформированы о риске фишинга.
Инцидент подтверждает, что сторонние поставщики аналитики являются одними из самых слабых звеньев.
✏️ Уроки, которые необходимо извлечь на будущее:
🔹Минимизация данных. Вы действительно отправляете email в сторонние аналитические системы? В 95% случаев нет необходимости. Cобирайте только те данные, которые абсолютно необходимы для выполнения задачи.
🔹Карта потоков данных. У вас должна быть точная карта того, какие PII передаются каждому сервису.
Если вы не знаете, то это главный риск.
🔹Аудит поставщиков. Есть ли у них MFA для всех сотрудников? Какой план реагирования на инциденты согласован с вашим? Посмотрите на примере Mixpanel.
🔹Сегментация и изоляция сред. Обеспечивает ли архитектура систем полную изоляцию данных? Если взламывают систему аналитики, гарантирует ли это, что никакие данные, кроме аналитических, не могут быть скомпрометированы (например, ключи API, пароли)?
🔹Скорость реакции на инцидент. В этом кейсе прошло 16 дней.....У вас должен быть план на случай утечки: отзыв ключей, уведомление пользователей, восстановление доступа, ограничение дальнейших рисков.
#UXWatch #BehindTheMachine
————
@pattern_ai