A OpenAI confirmou que uma falha de segurança em um de seus fornecedores, a plataforma de analytics Mixpanel, expôs informações de perfis de usuários vinculados ao OpenAI API Platform (platform.openai.com). O incidente afetou apenas contas de desenvolvedores que utilizam a API; usuários comuns do ChatGPT não foram impactados.
Segundo a empresa, não houve invasão nos sistemas da OpenAI, e nenhum conteúdo sensível, como chats, requisições de API, chaves de API, senhas, credenciais, dados de pagamento ou documentos pessoais foi comprometido.
O que vazou
O ataque ocorreu dentro da infraestrutura do Mixpanel. O invasor obteve acesso indevido a parte dos sistemas do provedor e exportou um conjunto limitado de dados, contendo:
- Nome cadastrado na conta da API
- Endereço de e-mail
- Localização aproximada (cidade, estado e país)
- Sistema operacional e navegador usados para acesso
- Sites de referência
- IDs de usuário ou organização associados à conta
A OpenAI reforçou que apenas informações utilizadas para análises de tráfego e métricas foram incluídas no vazamento.
Como a OpenAI respondeu
A empresa declarou que removeu totalmente o Mixpanel de seus serviços de produção, revisou detalhadamente os dados afetados e iniciou notificações diretas aos usuários impactados.
A companhia também está conduzindo uma revisão mais ampla de segurança em sua cadeia de fornecedores e elevando as exigências para parceiros externos.
Em comunicado, a OpenAI destacou que “confiança, segurança e privacidade são fundamentais para nossa missão” e afirmou que continuará monitorando sinais de mau uso dos dados.
Atenção ao phishing
O principal risco associado ao vazamento é a possibilidade de golpes de phishing usando informações reais dos perfis. Por isso, a OpenAI orienta os usuários a redobrarem a atenção:
- Cuidado com e-mails inesperados, especialmente os que pedem ações urgentes, clicáveis ou com anexos.
- Verifique se mensagens supostamente enviadas pela OpenAI vêm de domínios oficiais.
- A OpenAI nunca solicita senhas, chaves de API ou códigos de verificação por e-mail, SMS ou chat.
- Ative a autenticação multifator (MFA) na conta da API.
Apesar do transtorno, a empresa reforça que nenhum dado dos modelos ou conteúdo gerado pelos usuários foi vazado, mas recomenda atenção extra à caixa de entrada nos próximos dias.
Créditos da imagem: Unsplash
