El origen del incidente está en Mixpanel, la empresa de analítica que OpenAI empleaba para medir el uso de su web. El pasado 9 de noviembre, un atacante obtuvo acceso a sus sistemas y exportó un conjunto de datos relacionados con usuarios y organizaciones que trabajan con la plataforma para desarrolladores. OpenAI recalca que sus propios servidores no han sido vulnerados, pero la filtración sigue teniendo impacto porque permite identificar a miles de cuentas.
Según la compañía, la brecha ha expuesto información como el nombre completo del usuario, su dirección de correo electrónico, la ubicación aproximada basada en la IP, datos técnicos del dispositivo y del navegador, así como los ID de usuario y de organización asociados a cada cuenta. No se ha visto comprometida ninguna contraseña, clave de API o información financiera, pero disponer de estos datos personales es suficiente para que los atacantes elaboren correos falsos con apariencia legítima.
Tras detectar el incidente, OpenAI ha finalizado su colaboración con Mixpanel y está revisando el resto de proveedores que forman parte de su infraestructura. Además, ha comenzado a notificar a los usuarios afectados y a compartir recomendaciones para evitar fraudes.
Aunque OpenAI señala que no es necesario cambiar la contraseña, sí recomienda extremar la precaución. En las próximas semanas podrían llegar correos que parezcan oficiales solicitando verificaciones de cuenta o actualizaciones de claves. La compañía insiste en no abrir enlaces sospechosos, comprobar siempre el dominio real del remitente y activar la autenticación en dos pasos si aún no está activa.
Este incidente vuelve a poner de relieve un punto clave en ciberseguridad: incluso cuando las grandes tecnológicas blindan sus sistemas, la cadena de proveedores externos sigue siendo una de las mayores superficies de ataque.