OpenAI potvrdilo narušení dat postihující některé uživatele ChatGPT, ale incident nebyl výsledkem přímého hacknutí do vlastních systémů OpenAI. Místo toho byl neoprávněný přístup k uživatelským datům získán prostřednictvím Mixpanel, poskytovatele analytických služeb třetí strany, který používá OpenAI.
Co se stalo?
-
listopadu útočníci narušili bezpečnostní systém Mixpanelu, což vedlo k odhalení osobních údajů pro uživatele ChatGPT, kteří přistupují k platformě prostřednictvím API. Ukradené údaje zahrnují:
-
Uživatelská jména
- E-mailové adresy
- Údaje o poloze
- Informace o operačním systému
- Údaje o prohlížeči
Je důležité poznamenat, že nebyly ohroženy žádné protokoly chatu, klíče API, platební údaje ani hesla. OpenAI podnikla kroky ke zmírnění dopadu narušení tím, že odstranila Mixpanel z produkčních služeb a zahájila bezpečnostní vyšetřování.
Proč je to důležité
Ačkoli OpenAI trvá na tom, že základní systémy OpenAI nebyly hacknuty, incident zdůrazňuje klíčové riziko moderních digitálních služeb: závislost na poskytovatelích třetích stran. I když společnost hodně investuje do vlastního zabezpečení, zranitelnosti v dodavatelském řetězci mohou vést k úniku uživatelských dat.
Není to poprvé, co se uživatelé ChatGPT setkali s bezpečnostními riziky. V březnu 2023 chyba odhalila osobní údaje některých uživatelů a později toho roku bylo více než 100 000 zařízení infikováno malwarem, který ukradl přihlašovací údaje ChatGPT. Tento vzorec ukazuje, že popularita ChatGPT z něj činí hlavní cíl pro kybernetické útoky, ať už prostřednictvím samotného OpenAI nebo jeho partnerů.
Co by měli uživatelé dělat
OpenAI doporučuje uživatelům, aby se měli na pozoru před phishingovými útoky nebo podezřelými e-maily, protože ukradená data by mohla být použita k útokům sociálního inženýrství. Přestože v tuto chvíli neexistují žádné důkazy o zneužívání, je vhodné zůstat ostražití.
Budoucí bezpečnostní opatření
OpenAI reaguje tím, že zavádí přísnější bezpečnostní požadavky pro všechny partnery třetích stran a provádí přísnější audity bezpečnostních postupů dodavatelů. Tento únik slouží jako připomínka toho, že kybernetická bezpečnost je neustálý proces, zejména v rychle se měnícím prostředí služeb AI.
Tento incident zdůrazňuje inherentní rizika spoléhání se na externí služby, a to i pro společnosti se silnými vnitřními bezpečnostními opatřeními. Reakce OpenAI na odstranění Mixpanelu a posílení zabezpečení dodavatele je nezbytným krokem, ale pro ochranu uživatelských dat v budoucnu bude zásadní neustálá ostražitost.
