أعلنت شركة OpenAI عن تعرض مزود التحليلات Mixpanel لخرق أمني أدى إلى تسريب بيانات تحليلية مرتبطة ببعض مستخدمي منصة واجهة البرمجة الخاصة بها (platform.openai.com)، مؤكدة أن الحادث لم يمس أنظمتها أو بيانات الدردشة أو مفاتيح البرمجة أو كلمات المرور أو معلومات الدفع.
ويأتي هذا الإفصاح في إطار سياسة الشفافية التي تنتهجها الشركة، حيث أكدت في بيانها أن الحادث اقتصر فقط على Mixpanel، وأنه لم يسجل أي وصول غير مشروع إلى خوادم OpenAI أو محتوى المستخدمين.
وبحسب البيان، رصدت Mixpanel في 9 نوفمبر 2025 وصولاً غير مصرح به إلى جزء من أنظمتها، تبين لاحقاً أن المهاجم قام بتصدير مجموعة من البيانات التحليلية التي تتضمن معلومات تعرف ببعض مستخدمي واجهة البرمجة.
المعلومات المكشوفة تشمل بيانات عامة مرتبطة بالأجهزة والمستخدمين وليس بمحتوى الخدمات
أفادت Mixpanel بأنها أبلغت OpenAI بالحادث، والتي بدورها باشرت تحقيقاً داخلياً انتهى في 25 نوفمبر 2025 إلى تأكيد البيانات المتضررة. وأوضحت OpenAI أن المتأثرين المحتملين هم فقط مستخدمو منصة واجهة البرمجة، وأن خدمات ChatGPT وغيرها لم تتأثر.
وشملت البيانات التي تم الوصول إليها الاسم المسجل في حساب واجهة البرمجة، وعنوان البريد الإلكتروني، والموقع الجغرافي التقريبي (المدينة، والولاية، والدولة) بناء على معلومات المتصفح، ونظام التشغيل، ونوع المتصفح، والمواقع المُحيلة، وأرقام تعريف المستخدم أو الجهة. وأكدت الشركة أنه لم يتم كشف أي محادثات أو محتوى API أو كلمات مرور أو معلومات مالية أو وثائق ثبوتية.
وعقب الحادث، قامت OpenAI بإزالة Mixpanel من بيئة الإنتاج الخاصة بها، وأجرت مراجعة شاملة للبيانات المتأثرة، كما بدأت بإخطار جميع المؤسسات والمسؤولين والمستخدمين المتأثرين بشكل مباشر.
تعزيز الضوابط الأمنية وتوصيات للمستخدمين لتفادي أي محاولات تصيّد
أكدت OpenAI عدم وجود أي مؤشرات على أن البيانات تجاوزت أنظمة Mixpanel، لكنها تواصل مراقبة الوضع تحسباً لأي استغلال محتمل. كما أعلنت عن إنهاء علاقتها مع Mixpanel، والبدء بمراجعة أمنية شاملة لجميع موردي الخدمات، في إطار رفع معايير الأمان المعتمدة لديها.
ونصحت الشركة المستخدمين بتوخي الحذر من أي رسائل بريدية أو محاولات تصيّد تستغل أسماءهم أو بريدهم الإلكتروني، والتأكد من أن أي تواصل باسم OpenAI يجب أن يصدر من نطاق رسمي. ولفتت إلى أنها لا تطلب أبداً كلمات المرور أو مفاتيح البرمجة أو رموز التحقق عبر البريد الإلكتروني أو الدردشة.
ولمزيد من الأمان، دعت OpenAI المستخدمين إلى تفعيل خاصية التحقق المتعدد العوامل (MFA) على حساباتهم. وشددت الشركة في ختام بيانها على التزامها الكامل بالخصوصية والأمان والشفافية، واستمرارها في تقديم معلومات دقيقة ومباشرة عند حدوث أي حادثة أمنية.
