Fuite de données chez Mixpanel affecte des utilisateurs de l’API d’OpenAI – ChatGPT non concerné
Rappel des faits
Le 9 novembre, Mixpanel, prestataire d’analyse web utilisé par OpenAI pour son interface API, a détecté une intrusion dans une partie de ses infrastructures. Un pirate a exfiltré un fichier contenant des données d’identification et d’analyse liées aux comptes accessibles via platform.openai.com. OpenAI n’a pris connaissance de l’ampleur réelle de la fuite que le 25 novembre.
Donnees compromises et limites de la fuite
Selon les informations communiquées par OpenAI et Mixpanel, les informations récupérées par l’attaquant comprennent notamment :
- noms et adresses e-mail,
- localisations approximatives,
- systemes d’exploitation et navigateurs utilises,
- sites web d’origine (referrers),
- identifiants d’organisations.
OpenAI insiste sur le fait que plusieurs elements sensibles n’ont pas ete exposes : conversations ou requetes API, mots de passe, cles d’authentification, coordonnees bancaires, documents d’identite et jetons de session n’ont pas fuité.
Reactions d’OpenAI
OpenAI a reagi rapidement: Mixpanel a ete retire de tous les services en production des lors que l’incident a ete signale. Apres examen des donnees volees, OpenAI annonce la rupture definitive du contrat avec ce prestataire et affirme qu’elle ne fera plus appel a lui.
L’incident sert aussi de declencheur pour des audits de securite plus stricts : l’entreprise passe en revue l’ensemble de ses prestataires, durcit ses criteres de selection et surveille le web pour detecter toute utilisation frauduleuse des donnees volees. A ce jour, aucune exploitation malveillante n’a ete confirmee.
Risques pour les utilisateurs et recommandations
Les utilisateurs de l’API dont les informations ont ete compromises restent surtout exposes a des campagnes de phishing personnalisees. Avec noms, e-mails et identifiants OpenAI, des messages frauduleux peuvent sembler credibles.
OpenAI recommande de :
- se mefier des courriers electroniques suspects, liens et pieces jointes,
- ne jamais communiquer mots de passe ou cles API par message,
- activer l’authentification a double facteur (2FA) lorsque c’est possible.
Portee de l’incident
Il est important de noter que cet incident concerne des utilisateurs de l’API via platform.openai.com. Les millions d’utilisateurs de ChatGPT ne sont pas affects par cette fuite.
