A OpenAI confirmou, nesta quinta-feira (27), ter sido alvo de um vazamento de dados envolvendo informações mantidas pela Mixpanel, uma empresa contratada para serviços de análise. Segundo a desenvolvedora do ChatGPT, o incidente teve origem em um ataque descoberto pela parceira no dia 9 de novembro deste ano.
De acordo com a OpenAI, o invasor obteve acesso não autorizado a parte dos sistemas da Mixpanel e exportou a base de dados comprometida. Apesar da gravidade, o conjunto de informações vazadas é limitado e não inclui itens altamente sensíveis, como chaves de API, dados de uso ou histórico de solicitações.
A base de dados comprometida inclui as seguintes informações:
- Nome fornecido para a conta de API da OpenAI;
- E-mail associado à conta de API;
- Localização aproximada com base no navegador (cidade, estado e país);
- Sistema operacional e navegador utilizados para acessar a conta de API;
- Sites de referência;
- IDs de organização ou usuário associados à conta de API.
Para mitigar os impactos, a OpenAI removeu completamente a Mixpanel de seus serviços de produção e revisou os conjuntos de dados afetados. A empresa também está trabalhando diretamente com a parceira para entender melhor o escopo do incidente e começou a notificar organizações, administradores e usuários afetados.
“Confiança, segurança e privacidade são fundamentais para nossos produtos, nossa organização e nossa missão. Estamos comprometidos com a transparência e notificando todos os clientes e usuários afetados”, afirmou a OpenAI. A companhia reforçou ainda que exige de parceiros e fornecedores os mais altos padrões de segurança e privacidade. Com isso, a OpenAI encerrou o uso dos serviços da Mixpanel.
Os usuários afetados devem ter recebido um e-mail da OpenAI informando sobre o vazamento. Embora os dados expostos não sejam altamente comprometedores, algumas medidas de proteção são recomendadas:
- Desconfiar de e-mails de remetentes desconhecidos — não clicar em links nem baixar anexos;
- Verificar se mensagens supostamente enviadas pela OpenAI são realmente autênticas;
- Nunca fornecer senhas, chaves de API ou códigos de verificação por e-mail, SMS ou chat;
- Ativar a autenticação de dois fatores em todas as contas possivelmente expostas.