案例 openai-mixpanel模型与数据泄露全球
分析服务商Mixpanel遭入侵，OpenAI API用户数据暴露
一名攻击者通过短信钓鱼攻陷Mixpanel后导出了含OpenAI API用户姓名、邮箱和大致位置的数据集；OpenAI称聊天记录、密钥和支付数据均未暴露。
中针对 AI 的攻击状态: 已控制已核实案例档案
- 报道日期
- 2025年11月26日
- 地点
- 全球
- 目标
- OpenAI API平台用户
- 严重程度
- 中
- 发起者
- 对Mixpanel员工实施短信钓鱼的身份不明攻击者
- 行为者类型
- 犯罪团伙
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
一名攻击者通过短信钓鱼攻陷Mixpanel后导出了含OpenAI API用户姓名、邮箱和大致位置的数据集；OpenAI称聊天记录、密钥和支付数据均未暴露。
影响: OpenAI API用户的姓名、邮箱地址、大致位置、浏览器和操作系统信息暴露；提示词、API密钥、密码或支付数据未受影响。Mixpanel的其他客户也受到波及。
谁发起了攻击
行为者: 对Mixpanel员工实施短信钓鱼的身份不明攻击者
归因: 无公开归因；由Mixpanel和OpenAI披露
动机: 数据窃取；一份未经证实的报道称攻击者试图出售该数据集
如何发生
攻击途径: 对Mixpanel员工的短信钓鱼（smishing）导致内部系统被访问并导出分析数据集
根本原因: 第三方分析服务商持有用户元数据；员工凭据因社会工程而失陷
时间线
- Mixpanel检测到针对员工的短信钓鱼活动
- Mixpanel确认未授权访问和数据导出；通知OpenAI
- Mixpanel向OpenAI提供受影响的数据集
- OpenAI公开披露该事件
- OpenAI澄清部分ChatGPT用户也受到影响
应对
Mixpanel撤销会话、轮换凭据、封锁IP并聘请外部取证公司；OpenAI从生产环境中移除Mixpanel并通知受影响用户。
当前状态: 已控制
来源（在新标签页打开）
- OpenAI openai.com
- CSO Online csoonline.com
- eWeek eweek.com
引用此案例
分析服务商Mixpanel遭入侵，OpenAI API用户数据暴露. AI Threat Watch, 案例 openai-mixpanel, 2025年11月26日. https://aithreat.io/zh/cases/openai-mixpanel/