חברת OpenAI, המפתחת של ChatGPT, החלה לשלוח ביממה האחרונה הודעות דוא"ל ללקוחות ה-API שלה, בהן היא מאשרת כי חוותה דליפת מידע.
האירוע, כך מתברר, לא התרחש במערכות הליבה של OpenAI עצמה, אלא נבע מפריצה לחשבון של ספק צד שלישי, חברת האנליטיקה המוכרת Mixpanel.
מה קרה בדיוק?
לפי הדיווח, ב-21 בנובמבר 2025, תוקפים הצליחו להשיג גישה לא מורשית לחשבון שירות של OpenAI בתוך הפלטפורמה של Mixpanel. חברה זו משמשת את OpenAI (וחברות רבות אחרות) לניתוח דפוסי שימוש וביצועים של לקוחות.
הפריצה אפשרה לתוקפים לגשת למידע הקשור למשתמשי ה-API של החברה. OpenAI זיהתה את האירוע, ניתקה את הגישה לחשבון הפרוץ באופן מיידי והחלה בחקירה.
מה נגנב (ומה נשאר בטוח)?
זוהי הנקודה הקריטית ביותר עבור מפתחים ומנהלי מערכות מידע.
המידע שנחשף:
- כתובות אימייל עסקיות של משתמשי ה-API.
- הגדרות פרופיל משתמש (User preferences).
- מידע אנליטי כללי הקשור לשימוש בשירות.
המידע שנשאר בטוח (לפי OpenAI):
- סיסמאות: לא נחשפו.
- מפתחות API (API Keys): לא נחשפו (אין צורך לבצע רוטציה (החלפה) למפתחות בשלב זה, אלא אם רוצים לנקוט במשנה זהירות).
- פרטי תשלום: כרטיסי אשראי ופרטי בנק נותרו מוגנים.
- תוכן השיחות: היסטוריית הצ'אטים והפרומפטים (Prompts) לא הייתה חלק מהמידע שנשמר ב-Mixpanel ולכן לא נחשפה.
הסכנה האמיתית: מתקפות פישינג
למרות שהמידע הרגיש ביותר לא דלף, חשיפת מאגר של כתובות אימייל המשויכות ללקוחות משלמים של OpenAI היא מכרה זהב עבור פושעי סייבר. החשש העיקרי כעת הוא ממתקפות פישינג (Phishing) ממוקדות: התוקפים עלולים לשלוח מיילים המתחזים ל-OpenAI, בטענה שיש "בעיה בחשבון" או "צורך דחוף לעדכן פרטי תשלום", במטרה לגנוב את הסיסמאות האמיתיות או את פרטי האשראי.
שוב מתקפת "שרשרת אספקה"
המקרה הזה מצטרף לשורה ארוכה של אירועי סייבר המוגדרים כמתקפות שרשרת אספקה (Supply Chain Attacks). גם כאשר חברה גדולה כמו OpenAI משקיעה הון באבטחת המערכות שלה, המידע שלה (ושלכם) עדיין חשוף לפגיעות אצל הספקים החיצוניים איתם היא עובדת.
המלצת המערכת: אם קיבלתם מייל מ-OpenAI ביממה האחרונה, בדקו היטב את כתובת השולח ואל תלחצו על קישורים המבקשים סיסמאות או פרטים פיננסיים. עדיף תמיד לגלוש עצמאית לאתר הרשמי ולהתחבר משם.
