En GhM Soluciones Informáticas analizamos cada semana los incidentes que afectan a grandes compañías tecnológicas, ya que estos casos suelen anticipar riesgos que más tarde impactan también en pymes, despachos y empresas locales. En esta ocasión, la protagonista es una brecha de seguridad en OpenAI, que ha comunicado a sus usuarios que parte de sus datos han quedado expuestos debido a un incidente externo en uno de sus proveedores.
Aunque la compañía ha destacado que la fuga no proviene de sus propios sistemas, la exposición afecta igualmente a usuarios que utilizan la API y demuestra el riesgo creciente de las cadenas de suministro digitales.
Qué ha ocurrido realmente
OpenAI ha explicado que el origen del incidente está en Mixpanel, una empresa que ofrece servicios de analítica y que forma parte del ecosistema técnico que utilizan algunas funciones de la API. El 9 de noviembre se produjo un acceso no autorizado a información procesada por Mixpanel y, semanas después, la compañía trasladó el caso a OpenAI, que ha comenzado a notificarlo a los usuarios potencialmente afectados.
Este es un ejemplo claro de un ataque a terceros —un vector cada vez más común según INCIBE (https://www.incibe.es)— y que muchas veces pasa desapercibido hasta que se hace pública la investigación.
Información que sí podría haberse filtrado
El incidente afecta exclusivamente a usuarios de la API de OpenAI. Entre los datos expuestos se encuentran:
- Dirección de correo electrónico vinculada a la cuenta
- Nombre registrado en la API
- Sistema operativo y navegador utilizados
- Localización aproximada (ciudad, región, país)
- URLs de referencia
- Identificadores asociados a la cuenta o a la empresa
Estos datos, aunque no son críticos por sí solos, sí pueden emplearse para montar ataques de phishing o ingeniería social avanzados.
Más información sobre cómo proteger tus sistemas:
https://ghmsolucionesinformaticas.es/ciberseguridad
Qué información NO se ha visto comprometida
OpenAI recalca que no se han filtrado:
- Conversaciones de chats
- Solicitudes enviadas a la API
- Datos de uso
- Contraseñas o credenciales
- Claves de API
- Datos de pago
- Documentación oficial (DNI, pasaporte, etc.)
Esto reduce la gravedad del incidente, pero no elimina el riesgo.
Respuesta inmediata de OpenAI
Tras confirmar la brecha, OpenAI:
- Ha eliminado a Mixpanel de su ecosistema de proveedores
- Está revisando exhaustivamente todos los servicios asociados
- Ha notificado a usuarios, administradores y empresas afectadas
- Mantiene un proceso de investigación conjunto con Mixpanel
Estas medidas buscan evitar que un incidente similar se repita y mejorar la seguridad global de su cadena de suministro.
Riesgos para los usuarios y cómo protegerse
Los ciberdelincuentes podrían intentar:
- Enviar correos suplantando a OpenAI
- Realizar ataques de phishing orientados
- Solicitar claves o información sensible
- Crear páginas falsas para robar credenciales
Por ello, OpenAI recomienda:
- No abrir enlaces sospechosos
- Verificar siempre el remitente
- Recordar que nunca pedirán claves ni códigos
- Activar la autenticación multifactor (MFA)
La mejor defensa es la prevención. Si quieres reforzar la seguridad de tu empresa con auditorías, MFA, protección en Microsoft 365 o cumplimiento ENS, puedes consultar:
https://ghmsolucionesinformaticas.es/ciberseguridad/ens
https://ghmsolucionesinformaticas.es/microsoft-365
