اطلاعات کاربران API ChatGPT هک شد؛ واکنش OpenAI چه بود؟

سرویس Mixpanel چه نقشی در OpenAI و ChatGPT داشت؟

اگرچه ChatGPT یک سرویس مستقل است، اما platform.openai.com که توسعه‌دهندگان API ChatGPT را مدیریت می‌کنند، از Mixpanel برای تحلیل رفتار کاربران استفاده می‌کرد.
این یعنی:

داده‌های مربوط به استفاده از API ChatGPT از طریق Mixpanel ثبت می‌شد، نه چت‌های داخل ChatGPT.

این نکته مهم است، اما در فضای رسانه‌ای معمولاً با تیترهایی مانند «اطلاعات کاربران ChatGPT در خطر» مطرح می‌شود؛ چون این گروه بیشترین مخاطب را دارد و ارتباط مستقیم با API برای بسیاری روشن نیست.

چه اتفاقی افتاد و چه داده‌هایی در معرض خطر قرار گرفت؟

زمان حادثه

• ۱۸ آبان ۱۴۰۴ (۹ نوامبر ۲۰۲۵): مهاجم وارد بخشی از سیستم‌های Mixpanel شد.

• ۴ آذر ۱۴۰۴ (۲۵ نوامبر ۲۰۲۵): Mixpanel داده‌های آسیب‌دیده را به OpenAI ارسال کرد.

داده‌هایی که افشا نشدند

OpenAI تأکید کرده هیچ‌کدام از موارد زیر—چه در ChatGPT و چه در API—در معرض خطر نبوده‌اند:

• چت‌ها و مکالمات ChatGPT

• درخواست‌های API

• تاریخچه استفاده از API

• رمزعبورها

• کلیدهای API

• اطلاعات پرداخت

• مدارک هویتی

بنابراین هیچ متنی از ChatGPT لو نرفته.

داده‌هایی که ممکن است در مجموعه افشا شده باشند

اما در سوی دیگر، داده‌های تحلیلی مربوط به کاربران API ChatGPT در Mixpanel قرار داشت که شامل اطلاعات پایه زیر است:

• نام حساب

• ایمیل حساب

• موقعیت جغرافیایی تقریبی

• سیستم‌عامل و مرورگر

• سایت‌های ارجاع‌دهنده

• شناسه کاربری یا سازمانی در API

این داده‌ها محتوایی نیستند، اما برای حملات مهندسی اجتماعی علیه کاربران ChatGPT یا سازمان‌هایی که ChatGPT API مصرف می‌کنند، کافی هستند.

چرا کاربران ChatGPT باید به موضوع اهمیت بدهند؟

بسیاری از کاربران معمولی تصور می‌کنند این رخداد تنها مربوط به توسعه‌دهندگان است، اما واقعیت این است که:

کاربران سازمانی ChatGPT، شرکت‌هایی که ChatGPT را در محصولات خود ادغام کرده‌اند، و تیم‌های فنی که از API استفاده می‌کنند، در معرض خطر فیشینگ قرار می‌گیرند.

از آنجا که ایمیل و نام کاربری لو رفته، هکرها می‌توانند:

• پیام‌های جعلی با موضوع به‌روزرسانی ChatGPT بسازند

• لینک‌های مخرب را با عنوان تأیید هویت ChatGPT ارسال کنند

• ایمیل‌هایی با ظاهر پشتیبانی رسمی OpenAI ارسال کنند

• از اطلاعات شرکت برای حملات دقیق‌تر استفاده کنند

در ایران نیز بسیاری از تیم‌ها ChatGPT API را از طریق پراکسی یا حساب‌های خارجی خریداری کرده‌اند و این گروه هدف بالقوه مناسبی برای فیشینگ محسوب می‌شوند.

واکنش OpenAI

OpenAI بلافاصله اقدامات زیر را انجام داده:

قطع همکاری با Mixpanel

استفاده از Mixpanel در تمام سرویس‌ها، از جمله بخش‌های مرتبط با ChatGPT API، متوقف شده است.

بررسی کامل مجموعه داده

OpenAI تمام داده‌های آسیب‌دیده را تحلیل کرده تا بفهمد چه کسانی باید مطلع شوند.

شروع روند اطلاع‌رسانی مستقیم

کاربرانی که از API ChatGPT استفاده کرده‌اند و در داده‌های Mixpanel حضور دارند، پیام هشدار دریافت خواهند کرد.

ارزیابی امنیت شرکای فناوری

OpenAI سطح استاندارد امنیتی را برای تمام سرویس‌هایی که با ChatGPT و API آن تعامل دارند، افزایش داده است.

چه کارهایی باید انجام دهید؟

۱. مراقب پیام‌های جعلی با نام ChatGPT باشید

اگر پیام‌هایی با عنوان «اخطار امنیتی ChatGPT»، «به‌روزرسانی API ChatGPT» یا «نیاز به تأیید هویت» دریافت کردید، شک کنید.

۲. به لینک‌هایی که به شما نسبت داده می‌شود اعتماد نکنید

OpenAI هیچ‌وقت از ایمیل، پیام یا چت برای دریافت رمز یا کلید API استفاده نمی‌کند.

۳. احراز هویت دو مرحله‌ای را فعال کنید

اگر از API ChatGPT استفاده می‌کنید، MFA یک ضرورت است.

۴. از دامنه رسمی مطمئن شوید

تمام پیام‌های واقعی باید از دامنه‌های رسمی OpenAI ارسال شوند.

مقالات مرتبط

• ویژگی تازه ChatGPT برای خرید؛ دستیار هوشمند خرید از راه رسید

جمع‌بندی

رخداد امنیتی Mixpanel هیچ تهدید مستقیم و محتوایی برای کاربران ChatGPT ایجاد نکرده، اما کاربران API ChatGPT در معرض حملات فیشینگ قرار گرفته‌اند. داده‌های تحلیلی که افشا شده‌اند می‌توانند برای ساخت پیام‌های جعلی بسیار دقیق استفاده شوند. OpenAI همکاری خود با Mixpanel را قطع کرده و در حال سخت‌تر کردن استانداردهای امنیتی است.
با این حال، کاربران—چه توسعه‌دهنده باشند و چه مصرف‌کننده ChatGPT—باید نسبت به هر پیام غیرعادی با نام OpenAI یا ChatGPT هوشیار باشند.

پرسش‌های متداول

1. آیا چت‌های شخصی من در ChatGPT لو رفته؟
   خیر، هیچ محتوایی از ChatGPT افشا نشده است.
2. آیا حساب API ChatGPT در خطر است؟
   کلیدهای API آسیب ندیده‌اند، اما امکان هدف گرفتن کاربران از طریق فیشینگ وجود دارد.
3. آیا لازم است رمز عبور را عوض کنم؟
   توصیه می‌شود رمز را مرتب عوض کنید و MFA فعال باشد.
4. آیا ایمیل‌هایی با عنوان مشکلات امنیتی ChatGPT ممکن است جعلی باشند؟
   بله، مهاجمان دقیقا از همین روش استفاده خواهند کرد.
5. آیا استفاده از ChatGPT هنوز امن است؟
   بله؛ این رخداد در زیرساخت Mixpanel بوده و ربطی به سیستم‌های اصلی OpenAI یا ChatGPT ندارد.