OpenAI 正向部分 ChatGPT API 客戶發(fā)送通知，告知其部分身份信息因第三方分析服務(wù)商 Mixpanel 遭遇數(shù)據(jù)泄露而面臨暴露風(fēng)險(xiǎn)。

Mixpanel 提供事件分析服務(wù)，OpenAI 借助該服務(wù)追蹤 API 產(chǎn)品前端界面上的用戶交互行為。據(jù)了解，這并非 OpenAI 自身系統(tǒng)遭入侵。

OpenAI 表示，此次網(wǎng)絡(luò)安全事件僅影響“與部分 API 用戶相關(guān)的有限分析數(shù)據(jù)”，ChatGPT 及其他產(chǎn)品的用戶未受波及。

據(jù) Mixpanel 通報(bào)，此次攻擊“僅影響少量客戶”，攻擊源于該公司 11 月 8 日檢測(cè)到的一起短信釣魚活動(dòng)。OpenAI 在獲悉 Mixpanel 正在開(kāi)展調(diào)查后，于 11 月 25 日收到了受影響數(shù)據(jù)集的詳細(xì)信息。

OpenAI 指出，聊天記錄、API 請(qǐng)求內(nèi)容、API 使用數(shù)據(jù)、密碼、憑證信息、API 密鑰、支付詳情及政府簽發(fā)身份證件等敏感數(shù)據(jù)均未被泄露或暴露。此次可能暴露的信息包括：

·API 賬戶注冊(cè)時(shí)提供的姓名

·與 API 賬戶關(guān)聯(lián)的電子郵箱地址

·基于 API 用戶瀏覽器獲取的大致位置信息（城市、州/省、國(guó)家/地區(qū)）

·用于訪問(wèn) API 賬戶的操作系統(tǒng)及瀏覽器類型

·引薦網(wǎng)站（即引導(dǎo)用戶訪問(wèn) API 的來(lái)源網(wǎng)站）

·與 API 賬戶關(guān)聯(lián)的組織 ID 或用戶 ID

由于未涉及敏感憑證泄露，OpenAI 表示用戶無(wú)需重置密碼或重新生成 API 密鑰。

另有部分用戶反饋，加密貨幣投資組合追蹤與稅務(wù)平臺(tái) CoinTracker 也受到此次事件影響，泄露數(shù)據(jù)還包括設(shè)備元數(shù)據(jù)及有限的交易次數(shù)信息。

目前，OpenAI 已啟動(dòng)調(diào)查以明確事件的完整影響范圍。作為預(yù)防措施，該公司已將 Mixpanel 從生產(chǎn)服務(wù)中移除，并正直接通知相關(guān)組織、管理員及個(gè)人用戶。盡管 OpenAI 著重說(shuō)明僅 API 用戶受影響，但仍向所有訂閱用戶發(fā)送了通知。

OpenAI 警示，泄露的數(shù)據(jù)可能被用于釣魚攻擊或社會(huì)工程學(xué)攻擊，建議用戶警惕與此次事件相關(guān)、看似可信的惡意信息。對(duì)于包含鏈接或附件的信息，用戶需核實(shí)其是否來(lái)自 OpenAI 官方域名。同時(shí)，該公司敦促用戶啟用雙重認(rèn)證，切勿通過(guò)電子郵件、短信或聊天工具發(fā)送密碼、API 密鑰、驗(yàn)證碼等敏感信息。

針對(duì)此次攻擊，Mixpanel 已采取多項(xiàng)應(yīng)對(duì)措施：保障受影響賬戶安全、撤銷活躍會(huì)話及登錄權(quán)限、更換泄露的憑證信息、封禁攻擊者的 IP 地址，并要求所有員工重置密碼。此外，該公司還部署了新的安全管控措施，以防范未來(lái)發(fā)生類似事件。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/openai-discloses-api-customer-data-breach-via-mixpanel-vendor-hack/