Fuga de dades en ChatGPT: OpenAI reconeix una violació en la protecció dels usuaris

OpenAI ha confirmat un incident de seguretat al seu proveïdor d'anàlisi de tercers, Mixpanel, que podria haver compromés dades limitades dels usuaris de la seva API. Tot i que els usuaris habituals de ChatGPT no s'han vist afectats, aquest esdeveniment posa de manifest una vegada més els perills de confiar en tercers sense estrictes controls de seguretat en la cadena de subministrament digital.

‍

_{Què ha passat?}

El 9 de novembre de 2025, Mixpanel va detectar l'accés no autoritzat a part de la seva infraestructura. Poc després, l'atacant va aconseguir extreure un conjunt de dades que contenia informació identificable i metadades analítiques vinculades a alguns comptes OpenAI API. El 25 de novembre, Mixpanel va notificar oficialment a OpenAI de l'incident i va compartir les dades compromeses.

‍
_{Quines dades han estat compromeses?}

La informació exposada no inclou xats, claus API, contrasenyes o detalls de pagament. Les dades afectades són principalment dades de perfil i analítiques, entre les quals destaquen:

• Nom associat al compte API
• Adreça electrònica registrada
• Localització aproximada derivada del navegador (ciutat/país)
• Sistema operatiu i navegador utilitzat
• Llocs web de referència en accedir a la plataforma
• Identificadors d'usuari o organització vinculats al compte de l'API

Encara que es considera informació “de baix risc”, aquestes dades poden ser valuoses per a atacs d'enginyeria social, phishing dirigit o altres fraus basats en perfils reals.

‍

_{Reacció OpenAI i conseqüències de l'incident}

Després de l'incident, OpenAI:

• Va eliminar completament Mixpanel dels seus serveis de producció.
• Va iniciar una auditoria interna per avaluar l'abast de l'impacte.
• Va notificar directament als usuaris i organitzacions potencialment afectades.
• Va recomanar als afectats que estiguessin alerta davant possibles atacs de phishing o intents de suplantació de suplantació.

Tot i que l'incompliment no va comprometre dades sensibles com converses, pagaments o accessos, demostra que la dependència de serveis externs pot debilitar la seguretat general del sistema.

‍

_{Què significa per a la seguretat digital confiar en eines com Mixpanel?}

L'incident confirma que les plataformes tecnològiques no només han de protegir el seu codi o infraestructura directa, sinó també les eines que integren per mesurar l'ús, el rendiment o el comportament dels usuaris. Tot i que un sistema pot ser nativament segur, la inclusió de tercers amb accés a la telemètrica massiva crea superfícies vulnerables que sovint no es perceben com a crítiques fins que es produeix un incident.

Aquest cas demostra que els serveis d'analítica, aparentment operatius i poc sensibles, poden convertir-se en el punt més feble de la cadena si no són auditats, segmentats i monitoritzats sota estrictes normes de ciberseguretat. A més, qualsevol fallada del proveïdor pot escalar i afectar la confiança global, especialment quan les dades es comparteixen entre productes connectats, organitzacions i API.

‍
_{Enforteix la teva ciberseguretat avui, protegeix els teus clients demà}

La seguretat ja no és només interna: qualsevol proveïdor pot obrir la porta a la vostra organització. Si gestiones dades sensibles o confies en serveis externs, a Apolo Cybersecurity t'ajudem a auditar la teva cadena digital, avaluar riscos de tercers i desplegar controls robustos. Actuar avui per evitar que la propera vulnerabilitat sigui decidida per una altra empresa.