Шта треба знати о недавном безбедносном инциденту у Mixpanel-у

Појашњење од 19. децембра 2025: Ажурирамо блог да бисмо појаснили опис погођених корисника. У оригиналном блогу је наведено да су погођени „API корисници“. Ажуриран је тако да се дода: „Ово је такође утицало на ограничен број ChatGPT корисника који су послали тикете центру за помоћ или су били пријављени на platform.openai.com⁠(отвара се у новом прозору).“ Сви погођени корисници су идентификовани и обавештени у исто време, у оквиру првобитног обраћања корисницима. Осим овог појашњења, ништа друго у нашем разумевању инцидента, укључујући врсту укључених информација, није се променило. 

Транспарентност нам је важна, па желимо да вас обавестимо о недавном безбедносном инциденту у Mixpanel-у, добављачу аналитике података који је OpenAI користио за веб аналитику на интерфејсу фронтенда нашег API производа (platform.openai.com⁠(отвара се у новом прозору)). 

Инцидент се догодио у оквиру система компаније Mixpanel и укључивао је ограничене аналитичке податке који се односе на неке кориснике API-ја. Такође је утицао на ограничен број ChatGPT корисника који су послали тикете центру за помоћ или су били пријављени на platform.openai.com.

Ово није био пробој система OpenAI-а. Ниједан чет, API захтеви, подаци о коришћењу API-ја, лозинке, акредитиви, API кључеви, подаци о плаћању или државни идентификациони документи нису били компромитовани нити изложени.

Шта се догодило

Mixpanel је 9. новембра 2025. постао свестан нападача који је стекао неовлашћени приступ делу њихових система и извезао скуп података који је садржао ограничене податке за идентификацију клијената и аналитичке информације. Mixpanel је обавестио OpenAI да истражује инцидент, а 25. новембра 2025. поделио је са нама погођени скуп података. 

Шта ово значи за погођене кориснике

Подаци корисничког профила повезани са коришћењем platform.openai.com⁠(отвара се у новом прозору) можда су били укључени у податке извезене из Mixpanel-а. Информације које су можда биле погођене ограничене су на:

• Име које нам је достављено на налогу 
• Адресу е-поште повезану са налогом
• Приближну грубу локацију на основу прегледача корисника (град, држава/покрајина, земља)
• Оперативни систем и прегледач који су коришћени за приступ налогу
• Веб-сајтове упућиваче
• ID-јеве организације или корисника повезане са налогом

Наш одговор  

У оквиру наше безбедносне истраге уклонили смо Mixpanel из наших продукционих сервиса, прегледали погођене скупове података и блиско сарађујемо са Mixpanel-ом и другим партнерима да бисмо у потпуности разумели инцидент и његов обим. У процесу смо директног обавештавања погођених организација, администратора и корисника. Иако нисмо пронашли доказе о било каквом утицају на системе или податке изван окружења Mixpanel-а, настављамо да пажљиво пратимо све знаке злоупотребе. 

Поверење, безбедност и приватност су темељ нашег производа, наше организације и наше мисије. Посвећени смо транспарентности и обавештавамо све погођене клијенте и кориснике. Такође наше партнере и добављаче сматрамо одговорним за највиши стандард безбедности и приватности њихових услуга. Након разматрања овог инцидента, OpenAI је прекинуо коришћење Mixpanel-а. 

Поред Mixpanel-а, спроводимо додатне и проширене безбедносне провере у целом екосистему наших добављача и подижемо безбедносне захтеве за све партнере и добављаче.

Шта треба да имате на уму  

Информације које су овде можда биле погођене могле би да се употребе као део фишинг или социјално-инжењерских напада усмерених против вас или ваше организације. 

Пошто су били укључени имена, адресе е-поште и метаподаци OpenAI API-ја (нпр. ID-јеви корисника), подстичемо вас да останете на опрезу због уверљивих покушаја фишинга или нежељене поште. Као подсетник:

• Будите опрезни са неочекиваним имејловима или порукама, посебно ако садрже линкове или прилоге.
• Додатно проверите да је свака порука која тврди да је од OpenAI-а послата са званичног OpenAI домена.
• OpenAI не тражи лозинке, API кључеве или кодове за верификацију путем имејла, текстуалне поруке или ћаскања.
• Додатно заштитите свој налог тако што ћете омогућити потврду идентитета у више корака⁠(отвара се у новом прозору). 

Безбедност и приватност наших производа су од пресудне важности и остајемо чврсто посвећени заштити ваших информација и транспарентној комуникацији када дође до проблема. Хвала вам на континуираном поверењу. 

OpenAI

ЧПП

Зашто је OpenAI користио Mixpanel?

• Mixpanel је коришћен као спољни добављач веб аналитике да би нам помогао да разумемо коришћење производа и побољшамо своје услуге за наш API производ (platform.openai.com). Ограниченом броју ChatGPT корисника који су послали тикете преко центра за помоћ или који су били пријављени на platform.openai.com Mixpanel је можда евидентирао горе описане информације. Ти корисници су идентификовани у то време и већ су обавештени.

Да ли је ово изазвано рањивошћу у системима OpenAI-а?

• Не. Овај инцидент је био ограничен на системе компаније Mixpanel и није укључивао неовлашћени приступ инфраструктури OpenAI-а.

Како да знам да ли смо моја организација или ја били погођени?

• Тренутно смо у процесу обавештавања погођених и обратићемо се директно вама или администратору ваше организације путем имејла да бисмо вас обавестили.

Да ли су неки моји API подаци, инструкције или излази били погођени?

• Не. Садржај ћаскања, инструкције, одговори или подаци о коришћењу API-ја нису били погођени.

Да ли су ChatGPT налози били погођени овим?

• Неки корисници ChatGPT‑а који су послали тикете преко центра за помоћ или су били пријављени на platform.api.com можда су били погођени. Они су раније били обавештени.

Да ли су OpenAI лозинке, API кључеви или подаци о плаћању били изложени?

• Не. OpenAI лозинке, API кључеви, подаци о плаћању, државни идентификациони документи и акредитиви за приступ налогу нису били погођени. Поред тога, потврдили смо да токени сесије, токени за потврду идентитета и други осетљиви параметри за OpenAI услуге нису били погођени.

Да ли треба да ресетујем лозинку или ротирам API кључеве?

• Пошто лозинке и API кључеви нису били погођени, не препоручујемо ресетовање или ротацију кључева као одговор на овај инцидент.

Шта радите да заштитите моје личне податке и приватност?

• Добили смо погођене скупове података ради независне провере и настављамо да истражујемо потенцијални утицај, као и да пажљиво пратимо све знаке злоупотребе. Обавештавамо све појединачно погођене кориснике и организације и у контакту смо са Mixpanel-ом у вези са даљим корацима одговора.

Да ли је Mixpanel уклоњен из OpenAI производа?

• Да. 

Да ли треба да омогућим потврду идентитета у више корака (MFA) за свој налог?

• Да. Иако акредитиви налога или токени нису били погођени у овом инциденту, као најбољу безбедносну праксу препоручујемо да сви корисници омогуће потврду идентитета у више корака (MFA) ради додатне заштите налога. За предузећа и организације препоручујемо да MFA буде омогућен на слоју јединствене пријаве. 

Да ли ћу добити додатне новости ако се нешто промени?

• Посвећени смо транспарентности и обавештаваћемо вас ако идентификујемо нове информације које суштински утичу на погођене кориснике. Такође ћемо ажурирати овај ЧПП. 

Да ли постоји неко коме могу да се обратим ако имам питања?

• Ако имате питања, недоумице или безбедносне проблеме, можете контактирати наш тим за подршку на mixpanelincident@openai.com⁠.