OpenAI ha confirmado que una brecha de seguridad en Mixpanel, uno de sus proveedores de análisis externos, resultó en la exposición de información de perfil limitada perteneciente a algunos usuarios de sus servicios de API.

El incidente ocurrió el nueve de noviembre cuando Mixpanel detectó que un atacante había accedido a sus sistemas y exportado datos relacionados con el panel de análisis de API de OpenAI.

Según OpenAI, la información comprometida incluía nombres de usuario, direcciones de correo electrónico, ubicación geográfica aproximada, detalles del navegador y del sistema operativo, información de referencia e identificadores internos de cuenta.

No se expuso contenido de chat, datos de pago, claves de API, contraseñas ni ninguna credencial de autenticación sensible, y los usuarios regulares de ChatGPT no se vieron afectados.

Al confirmar la brecha, OpenAI eliminó inmediatamente a Mixpanel de su entorno de producción, detuvo todo intercambio de datos con el servicio y comenzó a notificar directamente a los clientes de API afectados.

La empresa también se ha comprometido a reforzar sus requisitos de seguridad de proveedores y a revisar todas las integraciones de terceros.

Si bien la información filtrada se considera de baja sensibilidad, los especialistas en ciberseguridad advierten que aún podría habilitar campañas de phishing o de ingeniería social dirigidas.

OpenAI ha aconsejado a los usuarios de API que estén alertas ante comunicaciones sospechosas, pero ha declarado que los restablecimientos de contraseña son innecesarios, ya que no se robaron credenciales de acceso.

El incidente resalta los riesgos más amplios que surgen cuando las grandes empresas tecnológicas dependen de proveedores de análisis externos.

A medida que OpenAI continúa su investigación, la empresa dice que fortalecerá la supervisión de sus socios de la cadena de suministro y refinara sus políticas internas de intercambio de datos para prevenir vulnerabilidades similares en el futuro.