Утечка есть, взлома нет: OpenAI раскрыла детали инцидента и предупредила о фишинге

OpenAI сообщила о инциденте безопасности у стороннего провайдера веб-аналитики Mixpanel, который затронул часть пользователей API-платформы platform.openai.com. Речь не идет о взломе систем OpenAI и утечке чатов, паролей или ключей: скомпрометированы были только ограниченные аналитические данные, однако компания предупреждает о рисках фишинга и социальных атак на фоне произошедшего.

По данным OpenAI, инцидент произошел в инфраструктуре Mixpanel и не затронул рабочие системы самой OpenAI. 9 ноября 2025 года Mixpanel обнаружила несанкционированный доступ к части своих систем: злоумышленник смог выгрузить датасет с аналитической информацией клиентов. Тогда Mixpanel уведомила OpenAI о расследовании, а 25 ноября передала компании копию затронутого набора данных для анализа масштаба инцидента.

Под угрозой оказались профильные данные некоторых пользователей API, которые Mixpanel собирал как провайдер веб-аналитики для интерфейса platform.openai.com. В выгруженный датасет могли попасть имя, указанное в аккаунте API, адрес электронной почты, приблизительное местоположение по данным браузера (город, штат, страна), информация об операционной системе и браузере, реферальные сайты, а также идентификаторы организации или пользователя, связанные с аккаунтом.

Отдельно подчеркивается, что содержимое чатов, промпты и ответы моделей, данные об использовании API, пароли, API-ключи, платёжные данные, государственные идентификаторы и другие чувствительные учетные данные не подвергались риску и не покидали инфраструктуру OpenAI. Компания также заявляет, что сессионные и аутентификационные токены, а также другие критичные параметры доступа не были затронуты.

В ответ на инцидент OpenAI полностью отключила Mixpanel от своих продуктивных сервисов и начала собственное расследование затронутых наборов данных. Компания работает с Mixpanel и другими партнерами, чтобы уточнить детали случившегося, и параллельно проводит расширенные проверки всей цепочки поставщиков. По итогам пересмотра требований OpenAI прекратила использование Mixpanel и объявила о повышении стандартов безопасности для всех подрядчиков и вендоров.

OpenAI уже начала адресно уведомлять организации, администраторов и отдельных пользователей, чьи данные могли оказаться в выгруженном датасете. При этом компания отмечает, что пока не видит признаков злоупотребления полученной информацией за пределами среды Mixpanel, но продолжает мониторинг возможных последствий.

Основной риск для пострадавших — фишинг и социальная инженерия с использованием реальных имени, email и метаданных аккаунта OpenAI. Компания рекомендует пользователям с осторожностью относиться к неожиданным письмам и сообщениям, особенно содержащим ссылки и вложения, и всегда проверять, что якобы «официальные» уведомления приходят с доменов OpenAI. Отдельно подчеркивается, что OpenAI не запрашивает пароли, API-ключи или коды подтверждения по email, SMS или в чате.

В качестве дополнительной меры защиты компания советует включить многофакторную аутентификацию для аккаунта OpenAI, а в корпоративной среде — обеспечивать MFA на уровне единого входа. OpenAI заверяет, что безопасность и конфиденциальность остаются ключевыми приоритетами и обещает информировать пользователей, если появится новая значимая информация об инциденте.