نشت داده‌های کاربران ChatGPT به دلیل آسیب‌پذیری در سرویس شخص ثالث

جزئیات نقض و داده‌های فاش‌شده

این حادثه در تاریخ ۹ نوامبر و از طریق دسترسی غیرمجاز مهاجمان به شرکت Mixpanel، یک شرکت شخص ثالث که OpenAI برای جمع‌آوری و تجزیه و تحلیل داده‌های خاص از آن استفاده می‌کند، به وقوع پیوست. این نقض امنیتی منجر به نشت مجموعه‌ای از داده‌های کاربران شد:

• نام‌های کاربری
• آدرس‌های ایمیل
• موقعیت‌های جغرافیایی
• انواع سیستم عامل و مرورگر‌ها

تأکید OpenAI بر امنیت زیرساخت داخلی

شرکت OpenAI تأکید کرد که سیستم‌های داخلی آن به خطر نیفتاده‌اند و تأثیر این حادثه به طور محدود متوجه کاربرانی است که حساب‌های آن‌ها امکان دسترسی به API‌های این شرکت را فراهم می‌کردند. این کاربران شامل توسعه‌دهندگان و مشاغلی هستند که از API‌های ارائه شده توسط OpenAI استفاده می‌کنند.

«این نقض، سیستم‌های OpenAI نبوده است.»

این شرکت همچنین تأیید کرد که داده‌های حساس زیر در معرض نشت قرار نگرفته‌اند:

• محتوای مکالمه و درخواست‌های API
• داده‌های استفاده و رمز‌های عبور
• کلید‌های دسترسی و داده‌های پرداخت
• اسناد دولتی

اقدامات امنیتی و هشدار فیشینگ

OpenAI اعلام کرد که تحقیقات امنیتی جامعی را در مورد این حادثه آغاز کرده و بلافاصله سرویس Mixpanel را از خدمات بهره‌وری خود حذف کرده است. اگرچه تاکنون هیچ مدرکی مبنی بر سوءاستفاده از داده‌های فاش‌شده وجود ندارد، اما این شرکت در مورد احتمال سوءاستفاده از آن‌ها در حملات فیشینگ یا مهندسی اجتماعی هشدار داد و از کاربران خواست که نسبت به پیام‌ها یا لینک‌های مشکوک احتیاط لازم را به عمل آورند.

«امنیت و حریم خصوصی محصولات ما از اولویت‌های اصلی است و ما متعهد به محافظت از اطلاعات شما و اقدام شفاف در صورت بروز هرگونه مشکل هستیم.»

این شرکت متعهد شد که بررسی‌های امنیتی گسترده‌ای از برنامه‌ها و خدمات شخص ثالث انجام دهد و الزامات امنیتی را برای تمامی شرکا و فروشندگان خود افزایش دهد.

سابقه چالش‌های امنیتی ChatGPT

این حادثه جدیدترین مورد از مجموعه‌ای از چالش‌های امنیتی است که ChatGPT از زمان راه‌اندازی خود در نوامبر ۲۰۲۲ با آن‌ها مواجه بوده است. مهم‌ترین موارد پیشین عبارتند از:

• مارس ۲۰۲۳: شرکت پس از کشف آسیب‌پذیری که امکان دسترسی به داده‌های خصوصی تعدادی از کاربران را فراهم می‌کرد، مجبور شد سرویس را به طور موقت به حالت تعلیق درآورد.
• گزارش Group-IB: یک شرکت امنیت سایبری اعلام کرد که بیش از ۱۰۰,۰۰۰ دستگاه به بدافزاری آلوده شده‌اند که اطلاعات ورود به سیستم عامل را به سرقت برده است؛ اگرچه این مورد شامل نقض زیرساخت OpenAI نمی‌شد.