A finales del pasado mes de noviembre, OpenAI confirmó una brecha de seguridad que afectaba a los clientes de su API. Pero lo importante de todo esto lo sabemos ahora: OpenAI no fue el objetivo directo del ataque, pero sí le salpicó. El objetivo fue Mixpanel, una empresa estadounidense fundamental para el análisis de datos de la mayor empresa de IA…
OpenAI utiliza estos análisis para monitorear cómo se utiliza su propia plataforma. Un atacante pudo acceder a la cuenta de un empleado de Mixpanel mediante un ataque de SMS phishing y consiguió infiltrarse en la infraestructura de la empresa. Consiguiendo así obtener datos de clientes que incluía información como nombres, correos o información de la organización.
Aun así, lo tranquilizador de todo es que no se filtraron contraseñas, claves API, detalles de pago ni ningún chat con usuarios. Pero no por ello los usuarios están libre de peligro. Pero la pregunta que se viene a la cabeza de los usuarios es… ¿Qué podemos hacer para protegernos de cara al futuro si la brecha es más profunda?
Qué se filtró y qué no de OpenAI
En un primer momento, hemos de distinguir entre el tipo de datos que sí se filtraron y lo que no. Y aunque muchos usuarios temieron lo peor, los datos filtrados han sido bastante limitados.
Entre los datos que sí se filtraron, encontramos:
- Nombres y apellidos de los usuarios
- Direcciones de correo electrónico
- Información de la organización. Es decir, nombre de la empresa o entidad donde usamos la API de OpenAI.
- IDs de los usuarios y de organización a nivel interno.
Pero también tenemos una serie de datos que no llegaron a filtrarse, para tranquilidad de los usuarios, así que no debes temer por:
- Tus contraseñas en OpenAI
- Claves API o tokens de acceso
- Información de pago (donde incluimos tarjetas de crédito o métodos de pgo)
- Historial de chats o conversaciones
- Datos específicos de nuestras solicitudes a la API
- Números de identificación, pasaportes o demás documentos.
Esta recopilación es importante porque quiere decir que, aunque alguien pueda saber nuestro nombre y nuestro correo de OpenAI, hasta el momento no puede acceder a nuestra cuenta ni a nuestros datos. Pero ello no quiere decir que estemos libres de peligro. Ahora los atacantes saben específicamente que somos usuarios de OpenAI, y pueden optar por ataques dirigidos de phishing a nuestro correo de manera más convincente
Pasos prácticos para protegernos de posibles amenazas
Aunque entre los datos filtrados no se incluyen contraseñas o claves de acceso, los expertos en ciberseguridad siempre recomiendan tomar una serie de medidas preventivas.
En primer lugar, y aunque no esté en riesgo inminente, deberíamos cambiar nuestra contraseña de OpenAI. Tanto si tienes una cuenta en ChatGPT como acceso a la API, entra en la configuración de tu perfil y cambia tu contraseña. Elige algo completo y fuerte, y si puede ser, al menos de 16 caracteres con mayúsculas, minúsculas, números y símbolos.
Habilita la autenticación en dos factores. En la misma sección de configuración, puedes activar 2FA si todavía no lo has hecho, una capa de protección que nos protege incluso si alguien obtiene nuestra contraseña.
También deberías extremar la precaución con correos y mensajes sospechosos. Ahora los atacantes saben tu correo como usuario de OpenAI. Por lo que desconfía de cualquier remitente que te pida cualquier dato en un correo. Es altamente probable que sea phishing. En el caso de recibir algún correo sospechoso, ve directamente al sitio de OpenAI sin hacer clic en ningún enlace.
Tampoco está de más que revises tu actividad reciente. Desde tu cuenta en ChatGPT puedes revisar el historial de accesos, y si ves un intento de login desde una ubicación desconocida, cambia tu contraseña. Por último, en cualquier caso, echa un vistazo a tu cuenta bancaria. Es cierto que la información de pago no se filtró, pero así también puedes asegurarte de cualquier cargo no autorizado en tu tarjeta.