OpenAI sotto attacco hacker, rubati i dati personali di decine di utenti

janews/Shutterstock

In Sintesi

• OpenAI ha segnalato ai suoi utenti una violazione di sicurezza ai danni di Mixpanel, una società terza di analisi del traffico web.
• Le informazioni esposte includono nome account, indirizzo email, localizzazione approssimativa, dati sul dispositivo e identificativi API/organizzazione.
• Il rischio principale derivante dai dati sottratti è l’uso da parte dei criminali per condurre campagne di phishing e attacchi di social engineering mirati e altamente credibili.

OpenAI sta inviando comunicazioni ufficiali agli utenti iscritti a platform.openai.com per segnalare un incidente di sicurezza che ha coinvolto Mixpanel, società esterna specializzata nell’analisi del traffico web. Come confermato dall’azienda di Sam Altam, è stato rilevato un accesso non autorizzato a un dataset che contiene alcune informazioni personali degli utenti che utilizzano le API di OpenAI.

Secondo quanto reso noto, l’incidente non è avvenuto direttamente sui sistemi dell’azienda dietro ChatGPT, ma ha interessato la piattaforma terza utilizzata per raccogliere dati statistici e di utilizzo, portando all’esposizione di informazioni sensibili, costringendo OpenAI a disattivare tempestivamente l’integrazione e a informare gli utenti potenzialmente coinvolti.

Quali dati sono stati compromessi

Da quello che sappiamo la violazione non ha riguardato i contenuti più delicati delle interazioni con i modelli di OpenAI, ma il dataset sottratto include comunque elementi personali utili a tracciare gli utenti. Nello specifico, tra le informazioni compromesse ci sono il nome associato all’account OpenAI, l’indirizzo email registrato, la localizzazione geografica approssimativa (ottenuta dall’indirizzo IP), varie informazioni sul dispositivo in uso (sistema operativo e tipo di browser) e identificativi delle organizzazioni e degli utenti API, utilizzati per la gestione degli account.

Tuttavia OpenAI ha precisato che elementi molto più sensibili, come le conversazioni col chatbot, le richieste API, le password, i dati di pagamento e i documenti d’identità, non risultano fortunatamente coinvolti, tutelando le persone da potenziali attacchi molto più invasivi.

Secondo la ricostruzione dell’azienda, l’accesso non autorizzato ai sistemi di Mixpanel è avvenuto il 9 novembre. OpenAI è venuta in possesso del dataset compromesso soltanto il 25 novembre, quando Mixpanel ha condiviso le informazioni necessarie per valutare con precisione l’entità della violazione. Soltanto dopo aver verificato i dati sottratti, l’azienda di Sam Altman ha attivato le proprie procedure di comunicazione agli utenti, spiegando di aver impiegato “due giorni effettivi” per completare le notifiche. Allo stesso tempo è stata disattivata l’integrazione con Mixpanel ed è stata avviata un’indagine tecnica congiunta per comprendere l’origine dell’attacco e prevenire eventuali vulnerabilità analoghe.

Cosa si rischia con questa violazione

Gli elementi sottratti, sebbene non comprendano contenuti conversazionali o dati finanziari, sono comunque utili ai cybercriminali per organizzare campagne di phishing mirato e attacchi di social engineering. La presenza combinata di nome, email, posizione e informazioni tecniche sui dispositivi rende possibile costruire messaggi personalizzati con un alto tasso di credibilità.

Per questo motivo OpenAI ha invitato gli utenti a prestare particolare attenzione a comunicazioni sospette che potrebbero imitare notifiche ufficiali dell’azienda o richiedere l’inserimento di credenziali.

Nonostante la tempestività della comunicazione, il caso riporta però al centro del dibattito un tema ricorrente, quello della vulnerabilità delle piattaforme che gestiscono enormi volumi di informazioni sensibili e la necessità di implementare standard di protezione sempre più rigorosi. Gli esperti ricordano, inoltre, che strumenti come l’autenticazione a più fattori, il cambio periodico delle credenziali e un’attenta verifica delle comunicazioni ricevute rimangono fondamentali per ridurre il rischio di compromissione dell’identità digitale di un utente.