Mixpanel: un incidente di sicurezza e le sue ripercussioni su OpenAI

A novembre c’è stato un piccolo incidente di sicurezza che ha toccato, tramite un fornitore terzo, anche OpenAI: Mixpanel, piattaforma di analisi web usata da OpenAI per monitorare l’utilizzo della sua interfaccia API (platform.openai.com), ha subito un accesso non autorizzato. L’attacco ha portato all’esportazione di un dataset contenente informazioni limitate sugli utenti. L’incidente è stato contenuto esclusivamente all’interno dell’infrastruttura di Mixpanel e non ha interessato i sistemi di OpenAI.

Dettagli tecnici dell’incidente

Il 9 novembre 2025 Mixpanel, infatti, ha rilevato che un aggressore aveva ottenuto l’accesso a una porzione delle proprie risorse e aveva scaricato dati che comprendevano:

• Nome fornito all’account API
• Indirizzo e‑mail associato all’account
• Posizione approssimativa (città, stato, paese) basata sul browser dell’utente
• Sistema operativo e browser utilizzati per accedere all’API
• Siti web di riferimento
• ID organizzazione o utente collegati all’account API

OpenAI è stata informata da Mixpanel entro pochi giorni e ha ricevuto il dataset compromesso il 25 novembre 2025.

Impatto sugli utenti e sui prodotti OpenAI

Gli utenti che hanno utilizzato platform.openai.com potrebbero aver avuto i propri dati personali inclusi nel dataset. Tuttavia, non sono stati compromessi:

• Contenuti delle chat, prompt e risposte di ChatGPT
• Richieste API, dati di utilizzo o token di autenticazione
• Credenziali di accesso, chiavi API, informazioni di pagamento o documenti governativi

In particolare, le sessioni di ChatGPT e gli altri prodotti OpenAI sono rimasti intatti.

Reazione di OpenAI all’incidente

Per gestire la situazione, OpenAI ha immediatamente:

• Rimosso Mixpanel dai propri servizi di produzione
• Analizzato i dataset interessati in collaborazione con Mixpanel e partner esterni
• Avviato la comunicazione diretta con le organizzazioni e gli amministratori colpiti
• Monitorato costantemente eventuali segni di utilizzo improprio dei dati

In seguito all’incidente, OpenAI ha deciso di terminare l’utilizzo di Mixpanel e di intensificare le revisioni di sicurezza su tutta la catena di fornitori, elevando i requisiti di protezione per tutti i partner.

Consigli pratici per gli utenti

Data la natura dei dati esposti, è consigliabile prestare attenzione a:

• Messaggi di phishing o di social engineering che sfruttano nome, e‑mail o ID API
• Link o allegati sospetti provenienti da mittenti non verificati
• Richieste di password, chiavi API o codici di verifica via email, SMS o chat (OpenAI non le richiede)

Per aumentare la sicurezza, OpenAI raccomanda di abilitare l’autenticazione a due fattori (MFA). Le organizzazioni dovrebbero applicare MFA anche a livello di singolo sign‑on.

FAQ

Perché OpenAI ha utilizzato Mixpanel?

Mixpanel era impiegato come strumento di analisi web per comprendere l’utilizzo del prodotto API e ottimizzare i servizi offerti.

Il problema è stato causato da una vulnerabilità di OpenAI?

No, l’incidente riguarda esclusivamente le infrastrutture di Mixpanel.

Dovrei cambiare password o chiavi API?

Non è necessario, poiché le credenziali non sono state compromesse.

Come posso contattare OpenAI per ulteriori informazioni?

Inviare una mail a mixpanelincident@openai.com.

In sintesi:

Quali dati potrebbero essere stati esposti?

Nome, e‑mail, posizione geografica approssimativa, sistema operativo, browser, siti di riferimento e ID associati all’account API.

OpenAI ha subito una violazione di sicurezza interna?

No, la violazione è avvenuta solo all’interno di Mixpanel; i sistemi OpenAI sono rimasti intatti.

Quali misure di sicurezza raccomanda OpenAI?

Abilitare l’autenticazione a due fattori e monitorare eventuali tentativi di phishing basati sui dati esposti.