OpenAI alerta para roubo de dados na Mixpanel: o que aconteceu e o que é que isto significa

OpenAI confirmou que hackers roubaram dados do seu parceiro de analytics Mixpanel, expondo informação limitada de utilizadores da API (desenvolvedores), mas não de utilizadores “normais” do ChatGPT. A empresa avisa sobretudo para o risco de phishing e outras fraudes dirigidas aos programadores que usam a API.​

O que aconteceu exatamente

A Mixpanel é uma plataforma de analytics usada por milhares de empresas para acompanhar uso de produtos e comportamento de utilizadores, e era o fornecedor que a OpenAI usava para telemetria e métricas da plataforma de API. Em novembro de 2025, um atacante conseguiu acesso não autorizado a partes dos sistemas da Mixpanel e exportou um conjunto de dados que incluía informação associada a contas de utilizadores da API da OpenAI.​

Segundo vários relatos, a Mixpanel detectou a intrusão por volta de 8–9 de novembro de 2025, depois de um ataque de “smishing” (phishing via SMS) contra alguém com acesso interno. A Mixpanel iniciou o plano de resposta a incidentes, revogou sessões, rodou credenciais, bloqueou IPs maliciosos e começou a trabalhar com peritos forenses e autoridades, enquanto informava clientes afetados, incluindo a OpenAI.​

Que dados foram expostos

O ponto mais importante: não foram expostos conteúdos de conversas, pedidos à API, passwords, chaves de API, dados de pagamento ou documentos de verificação de identidade. O que saiu cá para fora foi uma combinação de dados de perfil e metadata técnica usada para analytics, por exemplo: nomes associados à conta API, endereços de email, localização aproximada, sistema operativo, browser, site de referência e IDs de organização ou de utilizador.​

Notícias adicionais indicam que, para alguns integrações de terceiros, podem também ter sido incluídos metadados de dispositivo e contagens muito limitadas de transações, sempre no contexto de telemetria e não de conteúdos propriamente ditos. A OpenAI descreve estes dados como de “sensibilidade baixa”, mas suficientes para exigir notificação formal e para aumentar o risco de ataques de phishing e engenharia social.​

Quem foi afetado (e quem não foi)

O incidente atinge especificamente utilizadores da API da OpenAI — ou seja, developers e organizações que usam as APIs para integrar modelos em apps, serviços, produtos, etc. A empresa está a contactar diretamente organizações, administradores e utilizadores cujos dados constam do dataset partilhado pela Mixpanel, e indica que quem não recebeu qualquer comunicação é, em princípio, considerado não afetado.​

Utilizadores “normais” do ChatGPT, que só usam o serviço via site ou app, não foram afetados pelo incidente, segundo a própria OpenAI. A empresa reforça também que os seus próprios sistemas não foram comprometidos: o ataque ocorreu inteiramente no ambiente da Mixpanel, enquanto fornecedor externo.​

Como foi feito o ataque

A Mixpanel atribui a origem do incidente a um ataque de “smishing”, isto é, SMS de phishing usados para enganar alguém e levar à cedência de credenciais ou à instalação de malware. Este tipo de ataque é cada vez mais comum: em vez de emails, o atacante envia SMS aparentemente legítimos, normalmente com links para sites falsos que imitam portais de login ou páginas de suporte.​

Depois de obter esse ponto de entrada, o atacante conseguiu aceder a partes do ambiente da Mixpanel e exportar o dataset que continha a informação de analytics relacionada com contas de API da OpenAI. A intrusão foi detetada em novembro e, só algumas semanas depois, já com investigação em curso, a Mixpanel forneceu à OpenAI o conjunto de dados concreto envolvido, permitindo identificar quem tinha sido potencialmente afetado.​

Reação da OpenAI e da Mixpanel

A OpenAI afirma ter cortado o uso da Mixpanel nos seus serviços de produção após o incidente e ter revisto todos os datasets envolvidos. Em paralelo, está a realizar avaliações adicionais de segurança junto de todos os fornecedores e a subir o nível de exigência de segurança para parceiros externos.​

Do lado da Mixpanel, a CEO Jen Taylor indica que a empresa está a comunicar com todos os clientes impactados, colaborando com autoridades e mantendo medidas de contenção: revogação de sessões, rotação de credenciais e bloqueio de IPs maliciosos. A empresa sublinha que o incidente afetou apenas um subconjunto dos seus mais de 11 000 clientes corporativos, embora o número exato de pessoas afetadas não tenha sido tornado público.​

Principais riscos para developers

O grande risco aqui não é tanto alguém “invadir” diretamente contas via estes dados — não foram expostas passwords ou chaves — mas sim a capacidade de criar campanhas de phishing altamente credíveis, muito direcionadas a developers e equipas técnicas. Saber nomes, emails, organizações, localização aproximada e contexto de uso da API permite construir mensagens que parecem autênticas, referindo-se a eventos reais, planos de preços ou integrações efetivamente usadas.​

Com isso, um atacante pode tentar enganar developers para:

• introduzirem credenciais num site falso semelhante ao painel da OpenAI;
• clicarem em links que instalam malware nas máquinas de desenvolvimento;
• partilharem chaves de API, tokens ou outros segredos de produção.​

Especialistas em segurança citados na imprensa classificam os dados como de sensibilidade baixa, mas reconhecem que, combinados com outras fontes, podem servir de base para fraudes particularmente convincentes.​

Informação resumida

O que developers e empresas devem fazer agora

A OpenAI está a recomendar que todos os developers tratem emails e mensagens inesperadas com desconfiança, principalmente se alegarem ser da OpenAI, da Mixpanel ou de parceiros ligados ao uso da API. É fundamental verificar domínios oficiais, não clicar em links suspeitos e não introduzir credenciais em formulários que cheirem a “estranhos”, mesmo que a mensagem pareça muito bem escrita.​

Boas práticas adicionais incluem ativar autenticação multifator em todas as contas ligadas à OpenAI, rever quem tem acesso a chaves e segredos, e rodar credenciais se houver qualquer suspeita de fuga adicional de informação. Para equipas maiores, compensa sempre fazer uma pequena sessão interna a avisar developers sobre o incidente e a recordar sinais típicos de phishing moderno, seja por email ou SMS.