niadi.net — OpenAI, perusahaan di balik ChatGPT dan berbagai model kecerdasan buatan yang digunakan secara global, mengumumkan adanya insiden kebocoran data yang melibatkan salah satu vendor analitik web yang mereka gunakan. Meski demikian, OpenAI menegaskan bahwa informasi sensitif pengguna tetap aman dan tidak ada percakapan maupun kunci API yang terekspos dalam kejadian tersebut.
Perusahaan menyampaikan bahwa kebocoran berasal dari Mixpanel, sebuah layanan analitik yang dipakai untuk melacak penggunaan antarmuka web API di platform.openai.com. Dalam klarifikasinya, OpenAI menekankan bahwa seluruh aktivitas yang berkaitan dengan pelanggaran terjadi pada sistem dan infrastruktur Mixpanel, bukan pada server maupun basis data internal mereka sendiri.
Melalui penjelasan resmi yang diterbitkan di blog perusahaan, OpenAI mengatakan bahwa mereka telah melakukan audit menyeluruh, bekerja sama dengan Mixpanel untuk memastikan cakupan insiden, serta telah mengambil langkah korektif agar kejadian serupa tidak terulang kembali.
Walaupun tergolong insiden yang tidak menyentuh data sensitif, OpenAI tetap memperingatkan pengguna untuk meningkatkan kewaspadaan, terutama terkait ancaman phishing dan rekayasa sosial.
Bagaimana Kronologi Kebocoran Data Terjadi?
Insiden bermula ketika Mixpanel mendeteksi aktivitas mencurigakan pada sebagian sistem mereka pada 9 November 2025. Dari investigasi awal, ditemukan bahwa seorang pihak tak berwenang berhasil mengakses area terbatas dalam lingkungan Mixpanel. Akses ilegal tersebut memungkinkan pelaku mengekspor satu paket data atau dataset yang mengandung informasi analitik pengguna yang berinteraksi dengan API OpenAI.
Pada 25 November 2025, Mixpanel menyerahkan dataset tersebut kepada OpenAI agar dapat ditelaah lebih lanjut. Setelah diperiksa, dataset tersebut ternyata hanya berisi data analitik umum—jenis data yang biasanya dikumpulkan oleh platform analitik untuk melihat pola penggunaan layanan. Informasi yang tercantum di dalamnya meliputi:- Nama tampilan akun API
- Alamat email pengguna API
- Lokasi berdasarkan data browser (sebatas kota, provinsi, negara)
- Jenis sistem operasi dan browser yang digunakan
- Situs web atau aplikasi yang terhubung dengan API
- ID organisasi atau ID pengguna dari akun API
- Percakapan pengguna
- Isi request API
- API key
- Kata sandi
- Data pembayaran
- Informasi identitas legal pengguna
Dengan kata lain, meskipun terjadi akses ilegal, data yang terekspos hanyalah informasi meta yang sifatnya tidak dapat digunakan untuk memasuki akun pengguna.
Langkah Cepat OpenAI Usai Insiden
Sebagai respons pertama, OpenAI memutuskan untuk menghapus Mixpanel dari seluruh sistem mereka agar tidak ada pertukaran data lanjutan. Setelah itu, perusahaan memulai audit internal untuk memeriksa kemungkinan dampak lanjutan serta mengamankan proses integrasi dengan berbagai vendor pihak ketiga lainnya.
Tindakan yang dilakukan OpenAI meliputi:- Memutus akses Mixpanel secara permanen dari ekosistem OpenAI.
Hal ini memastikan tidak ada data tambahan yang bergerak menuju platform Mixpanel setelah insiden. - Meninjau dataset yang sempat terekspos.
Tujuannya untuk memastikan bahwa tidak ada informasi penting atau data kredensial yang tercampur di dalamnya. - Bekerja sama dengan Mixpanel serta mitra keamanan siber lain.
Kerja sama ini dilakukan untuk mendapatkan gambaran jelas tentang sumber serangan, teknik yang dipakai penyerang, serta siapa saja yang kemungkinan terkena dampaknya. - Mengirimkan pemberitahuan resmi kepada pengguna dan organisasi yang datanya termasuk dalam dataset Mixpanel.
Pemberitahuan dikirim secara bertahap untuk memastikan semua pihak menerima informasi yang lengkap dan benar. - Melakukan evaluasi ulang terhadap seluruh vendor dalam rantai sistem OpenAI.
Peninjauan dilakukan untuk memastikan standar keamanan para vendor masih berada pada level yang ditetapkan OpenAI. - Meningkatkan pemantauan untuk mencegah penyalahgunaan data.
Meski data yang bocor bukan data sensitif, OpenAI tetap memantau potensi aktivitas abnormal yang mungkin muncul sebagai dampak tidak langsung insiden.
Melalui berbagai tindakan ini, OpenAI ingin memastikan bahwa keamanan pengguna tetap menjadi prioritas tinggi, sekaligus menegaskan bahwa mereka tidak menganggap ringan insiden keamanan apa pun.
Apa Dampaknya terhadap Pengguna?
Dari hasil penyelidikan sejauh ini, OpenAI menyatakan bahwa dampak langsung kepada pengguna sangat minim. Karena data sensitif dan kredensial aman, tidak ada kebutuhan untuk mengganti kata sandi ataupun API key. Namun demikian, informasi seperti alamat email dan lokasi kasar tetap dapat menjadi sasaran empuk dalam skenario serangan phishing.
OpenAI mengimbau pengguna agar lebih berhati-hati terhadap berbagai jenis email yang mengatasnamakan perusahaan mereka. Pengguna harus memastikan bahwa email yang diterima benar-benar berasal dari domain resmi OpenAI. Selain itu, perusahaan mengingatkan bahwa mereka tidak pernah meminta pengguna memberikan:- Kata sandi
- API key
- Kode OTP
- Informasi sensitif lainnya melalui email
- Mengaktifkan fitur Multi-Factor Authentication (MFA).
Dengan MFA, akses ke akun menjadi lebih aman meski seseorang mengetahui kata sandi pengguna. - Memeriksa kembali alamat pengirim email sebelum mengklik tautan.
Serangan phishing sering kali mengandalkan domain palsu yang terlihat hampir serupa dengan domain asli. - Tidak mengunduh file atau membuka lampiran dari email mencurigakan.
- Melaporkan aktivitas mencurigakan ke pihak OpenAI.
Pengguna yang merasa menerima email mencurigakan dapat menghubungi OpenAI untuk memverifikasi keaslian pesan.
Menurut OpenAI, sejauh ini tidak ada indikasi bahwa dataset hasil pembobolan digunakan untuk kejahatan siber lebih lanjut. Namun, kewaspadaan tetap diperlukan mengingat pelaku dapat menggunakan alamat email atau data meta lainnya untuk melakukan pendekatan penipuan.
Tanggapan dan Tindak Lanjut OpenAI
OpenAI menyatakan komitmennya untuk terus memberikan pembaruan terkait insiden ini jika ditemukan perkembangan baru. Perusahaan menegaskan bahwa transparansi adalah kunci, terutama dalam insiden keamanan yang berpotensi memengaruhi pengguna.
Bagi pengguna atau organisasi yang merasa terdampak, OpenAI menyediakan jalur komunikasi khusus melalui email: mixpanelincident@openai.com. Kanal tersebut ditujukan untuk memberi ruang bagi para pengguna yang ingin menanyakan detail insiden atau memastikan keamanan data mereka.
OpenAI juga menambahkan bahwa evaluasi internal terhadap vendor pihak ketiga akan diperketat. Perusahaan ingin memastikan bahwa seluruh layanan eksternal yang menjadi bagian dari infrastruktur OpenAI mematuhi standar keamanan yang sangat tinggi.
Kebocoran data yang melibatkan Mixpanel menjadi pengingat bahwa sistem analitik pihak ketiga dapat menjadi celah potensial, meskipun data sensitif tidak tersentuh. Dalam kasus ini, OpenAI berhasil mengonfirmasi bahwa percakapan pengguna, kunci API, dan informasi penting lainnya tetap terlindungi.
Meski dampaknya terhadap pengguna relatif kecil, waspada terhadap phishing dan rekayasa sosial tetap menjadi langkah penting. OpenAI sendiri telah mengambil tindakan segera dan memastikan bahwa sistem mereka kini terbebas dari integrasi Mixpanel, sekaligus memperkuat keamanan ekosistemnya.
Insiden ini sekaligus menjadi pelajaran penting bahwa transparansi dan respon cepat adalah kunci dalam menjaga kepercayaan publik terhadap layanan digital.