The 2025 Mixpanel incident
What account owners need to distinguishEl incidente de Mixpanel de 2025
Qué debe distinguir quien gestiona la cuentaL’incident Mixpanel de 2025
Ce que le responsable de compte doit distinguer2025-yilgi Mixpanel hodisasi
Hisob uchun mas’ul kishi nimalarni farqlashi kerak回看 2025 年 Mixpanel 事件
企业账号负责人需要分清什么
On November 26, 2025, OpenAI reported a security incident at Mixpanel, its third-party web analytics provider. According to that notice, account and analytics information was involved, but chats and credentials were not. A December clarification also made clear that the affected group was not limited to API users. For a business account owner, those distinctions change what colleagues need to know: a warning about potentially convincing messages is different from a claim that their conversations were exposed. These are historical notices, not a newly discovered 2026 leak.El 26 de noviembre de 2025, OpenAI informó de un incidente de seguridad en Mixpanel, su proveedor externo de análisis de actividad web. Según el aviso, estaban implicados datos de cuentas y de actividad, pero no conversaciones ni credenciales. Una aclaración de diciembre precisó además que el grupo afectado no se limitaba a usuarios de la API. Para quien gestiona una cuenta empresarial, estas diferencias cambian lo que debe comunicar: advertir de posibles mensajes convincentes no equivale a afirmar que las conversaciones quedaron expuestas. Son avisos históricos, no una filtración recién descubierta en 2026.Le 26 novembre 2025, OpenAI a signalé un incident de sécurité chez Mixpanel, son prestataire d’analyse de l’activité web. Selon cet avis, des informations de compte et d’activité étaient concernées, mais pas les conversations ni les identifiants d’accès. Une clarification de décembre a également précisé que les personnes touchées ne se limitaient pas aux utilisateurs de l’API. Pour le responsable d’un compte professionnel, ces distinctions changent le message aux collègues : avertir de messages potentiellement convaincants ne revient pas à annoncer l’exposition de leurs conversations. Il s’agit d’avis historiques, pas d’une fuite découverte en 2026.2025-yil 26-noyabrda OpenAI veb-saytdagi faoliyatni tahlil qiluvchi tashqi xizmat — Mixpaneldagi xavfsizlik hodisasi haqida xabar berdi. Xabarga ko‘ra, hodisa hisob va foydalanishga oid ma’lumotlarni qamragan, ammo suhbatlar va kirish ma’lumotlarini emas. Dekabrdagi aniqlashtirishda ta’sirlanganlar faqat API foydalanuvchilari emasligi ham aytilgan. Korxona hisobi uchun mas’ul kishining xodimlarga aytadigan gapi shu farqlarga bog‘liq: ishonarli ko‘rinadigan xabarlardan ogohlantirish suhbatlar oshkor bo‘lganini aytish bilan bir xil emas. Bular tarixiy xabarlar, 2026-yilda yangi aniqlangan ma’lumot sizishi emas.2025 年 11 月 26 日，OpenAI 通报其第三方网站使用情况分析服务商 Mixpanel 发生安全事件。通报称，事件涉及账号及使用情况分析信息，但不涉及聊天内容和访问凭据。12 月的补充说明还明确，受影响群体并不只有 API 用户。对企业账号负责人来说，这些区别决定了该向同事说明什么：提醒大家警惕看似可信的消息，不等于宣称他们的对话已经泄露。本文讨论的是历史通报，不是 2026 年新发现的泄露事件。
SynexasPublishedPublicadoPubliéE’lon qilingan发布日期
An account can be affected
Without its chats being exposedUna cuenta puede verse afectada
Sin que se expongan sus conversacionesUn compte peut être concerné
Sans exposition de ses conversationsHisob hodisaga aloqador bo‘lishi mumkin
Suhbatlari oshkor bo‘lmagan taqdirda ham账号可能受到影响
但聊天内容并未暴露
Evaluation scopeAlcance de la evaluaciónPérimètre de l’évaluationBaholash doirasi评估范围
OpenAI located the incident within Mixpanel, not its own infrastructure. The December 19 clarification included a limited group of ChatGPT users.OpenAI situó el incidente en Mixpanel, no en su propia infraestructura. La aclaración del 19 de diciembre incluyó a un grupo limitado de usuarios de ChatGPT.OpenAI a situé l’incident chez Mixpanel, et non dans sa propre infrastructure. La clarification du 19 décembre incluait un groupe limité d’utilisateurs de ChatGPT.OpenAI hodisa o‘z infratuzilmasida emas, Mixpanelda yuz berganini aytgan. 19-dekabrdagi aniqlashtirish ChatGPT foydalanuvchilarining cheklangan guruhini ham qamragan.OpenAI 称事件发生在 Mixpanel，而非自身基础设施内。12 月 19 日的补充说明包括一小部分 ChatGPT 用户。
Comparable evidenceEvidencia comparableÉléments de preuve comparablesTaqqoslanadigan dalillar可比证据
Separate account and browsing information from conversation content, payment details and access credentials. The notice gives different answers for these categories.Separe los datos de cuenta y navegación del contenido de las conversaciones, los datos de pago y las credenciales de acceso. El aviso distingue estas categorías.Distinguez les informations de compte et de navigation du contenu des conversations, des données de paiement et des identifiants d’accès. L’avis apporte des réponses différentes selon la catégorie.Hisob va brauzer faoliyati haqidagi ma’lumotlarni suhbat mazmuni, to‘lov tafsilotlari va kirish ma’lumotlaridan ajrating. Xabarda bu toifalar bo‘yicha turli javoblar berilgan.把账号和浏览信息与对话内容、付款信息、访问凭据分开。通报对这些类别给出了不同结论。
Review ownershipResponsabilidad de la revisiónResponsabilité de la revueKo‘rib chiqish uchun mas’uliyat审查责任归属
The company’s account or security owner should reconcile relevant supplier communications with authorized account information under the company’s process.La persona responsable de las cuentas o de la seguridad debe contrastar las comunicaciones pertinentes del proveedor con información autorizada de las cuentas, siguiendo el procedimiento de la empresa.Le responsable des comptes ou de la sécurité doit rapprocher les communications pertinentes du fournisseur des informations de compte autorisées, selon la procédure de l’entreprise.Korxonaning hisoblar yoki xavfsizlik uchun mas’ul xodimi tegishli yetkazib beruvchi xabarlarini foydalanishga ruxsat etilgan hisob ma’lumotlari bilan korxona tartibi asosida solishtirishi kerak.企业账号或安全负责人应按公司流程，将服务商的相关通知与获准查阅的账号信息核对。
Acceptance decisionDecisión de aceptaciónDécision d’acceptationQabul qilish qarori验收决定
Prepare a targeted staff handoff with supported scope, applicable recommendations and open questions, rather than a blanket instruction based on the headline.Prepare una comunicación al personal con el alcance respaldado, las recomendaciones aplicables y las preguntas pendientes, no una instrucción general basada en el titular.Préparez une transmission ciblée au personnel : périmètre étayé, recommandations applicables et questions ouvertes, plutôt qu’une consigne générale tirée du seul titre.Sarlavhaga qarab hammaga bir xil ko‘rsatma berish o‘rniga, tasdiqlovchi manbasi bor doira, tegishli tavsiyalar va ochiq savollarni xodimlarga aniq yetkazing.向员工交代有依据的影响范围、适用建议和待查问题，不要只凭标题发布一刀切的指令。
The clarification changed the audience
Not the reported data categoriesLa aclaración cambió el grupo descrito
No las categorías de datos comunicadasLa clarification a modifié le public décrit
Pas les catégories de données signaléesAniqlashtirish kimlar qamralganini o‘zgartirdi
Xabardagi ma’lumot toifalarini emas补充说明改变了受影响人群的描述
没有改变通报中的数据类别
OpenAI’s account says Mixpanel became aware on November 9, 2025, that an attacker had gained unauthorized access to part of its systems and exported a dataset. Mixpanel supplied the affected dataset to OpenAI on November 25. OpenAI published its notice the following day. It described Mixpanel as a service used to understand activity on the web interface for its API product, the service businesses use to connect software to OpenAI. The notice says this was not a breach of OpenAI’s systems. That is the provider’s official account, not an independent investigation conducted for this article. OpenAI said it removed Mixpanel from production services and terminated its use.Según OpenAI, el 9 de noviembre de 2025 Mixpanel supo que un atacante había accedido sin autorización a una parte de sus sistemas y había extraído un conjunto de datos. Mixpanel entregó los datos afectados a OpenAI el 25 de noviembre. OpenAI publicó su aviso al día siguiente. Describió Mixpanel como un servicio utilizado para entender la actividad en la interfaz web de su producto API, el servicio que permite a las empresas conectar programas con OpenAI. El aviso afirma que no se vulneraron los sistemas de OpenAI. Es la versión oficial del proveedor, no una investigación independiente realizada para este artículo. OpenAI afirmó que retiró Mixpanel de sus servicios en producción y dejó de utilizarlo.Selon le récit d’OpenAI, Mixpanel a appris le 9 novembre 2025 qu’un attaquant avait accédé sans autorisation à une partie de ses systèmes et exporté un ensemble de données. Mixpanel a transmis les données concernées à OpenAI le 25 novembre. OpenAI a publié son avis le lendemain. Mixpanel y est présenté comme un service permettant de comprendre l’activité sur l’interface web de son produit API, le service par lequel les entreprises connectent leurs logiciels à OpenAI. L’avis indique qu’il ne s’agissait pas d’une intrusion dans les systèmes d’OpenAI. C’est le récit officiel du fournisseur, pas une enquête indépendante menée pour cet article. OpenAI a déclaré avoir retiré Mixpanel de ses services en production et cessé de l’utiliser.OpenAI bayoniga ko‘ra, Mixpanel 2025-yil 9-noyabrda hujumchi tizimlarining bir qismiga ruxsatsiz kirib, ma’lumotlar to‘plamini olib chiqqanidan xabar topgan. Mixpanel ta’sirlangan to‘plamni 25-noyabrda OpenAIga bergan. OpenAI ertasi kuni xabar e’lon qilgan. Unda Mixpanel API mahsulotining veb-interfeysidagi faoliyatni tushunish uchun ishlatilgani aytiladi. API — korxonalar o‘z dasturlarini OpenAIga ulashi uchun xizmat. Xabarda OpenAI tizimlari buzib kirilmagani aytilgan. Bu yetkazib beruvchining rasmiy bayoni, ushbu maqola uchun o‘tkazilgan mustaqil tekshiruv emas. OpenAI Mixpanelni amaldagi xizmatlaridan olib tashlagani va undan foydalanishni tugatganini bildirgan.按照 OpenAI 的叙述，Mixpanel 于 2025 年 11 月 9 日获悉，攻击者未经授权访问了其部分系统，并导出了一组数据。11 月 25 日，Mixpanel 将受影响的数据集交给 OpenAI。OpenAI 在次日发布通报，说明 Mixpanel 用于了解其 API 产品网页界面的使用情况。API 是企业软件连接 OpenAI 服务的接口。 通报称，这不是 OpenAI 系统遭到入侵。这里引用的是服务商的官方说法，并非为本文开展的独立调查。OpenAI 表示，已将 Mixpanel 从生产服务中移除，并终止使用。
On December 19, 2025, OpenAI clarified the affected audience. Alongside some API users, it included a limited number of ChatGPT users who had submitted help-center tickets or were logged into the OpenAI platform. That does not mean every ChatGPT user, and it does not support describing the event as API-only. The clarification says all impacted users had been identified and notified during the original outreach; the reported information categories had not changed. For an account owner, a revised public description is therefore not automatically evidence of a newly exposed group or a second incident. Keep the clarification with the original notice when preparing an internal explanation.El 19 de diciembre de 2025, OpenAI aclaró quiénes se habían visto afectados. Además de algunos usuarios de la API, incluyó a un número limitado de usuarios de ChatGPT que habían enviado solicitudes al centro de ayuda o habían iniciado sesión en la plataforma de OpenAI. Esto no significa todos los usuarios de ChatGPT, ni permite describir el incidente como exclusivo de la API. La aclaración indica que todas las personas afectadas habían sido identificadas y notificadas durante las comunicaciones originales; las categorías de información comunicadas no habían cambiado. Por tanto, una descripción pública revisada no demuestra por sí sola que apareciera otro grupo expuesto o que hubiera un segundo incidente. Conserve la aclaración junto al aviso original al preparar la explicación interna.Le 19 décembre 2025, OpenAI a clarifié la population concernée. Outre certains utilisateurs de l’API, elle comprenait un nombre limité d’utilisateurs de ChatGPT ayant envoyé une demande au centre d’aide ou étant connectés à la plateforme OpenAI. Cela ne signifie pas tous les utilisateurs de ChatGPT et ne permet pas de limiter l’incident aux seuls utilisateurs de l’API. La clarification indique que toutes les personnes concernées avaient été identifiées et prévenues lors des notifications initiales ; les catégories d’informations signalées n’avaient pas changé. Pour un responsable de compte, une description publique révisée ne prouve donc pas automatiquement une nouvelle exposition ou un deuxième incident. Conservez la clarification avec l’avis d’origine pour préparer l’explication interne.2025-yil 19-dekabrda OpenAI kimlar ta’sirlanganini aniqlashtirdi. Ayrim API foydalanuvchilaridan tashqari, yordam markaziga murojaat yuborgan yoki OpenAI platformasiga kirgan cheklangan sondagi ChatGPT foydalanuvchilari ham qamralgan. Bu barcha ChatGPT foydalanuvchilari degani emas; hodisani faqat API foydalanuvchilariga tegishli deb ham bo‘lmaydi. Aniqlashtirishga ko‘ra, barcha ta’sirlangan foydalanuvchilar dastlabki xabardor qilish vaqtidayoq aniqlangan va ogohlantirilgan; ma’lumot toifalari haqidagi tushuncha o‘zgarmagan. Demak, ochiq tavsifning yangilanishi o‘z-o‘zidan yangi guruh ma’lumotlari oshkor bo‘lganini yoki ikkinchi hodisani isbotlamaydi. Ichki tushuntirishni tayyorlashda aniqlashtirishni asl xabar bilan birga saqlang.2025 年 12 月 19 日，OpenAI 澄清了受影响人群：除部分 API 用户外，还包括少量曾向帮助中心提交工单，或当时登录 OpenAI 平台的 ChatGPT 用户。这不等于所有 ChatGPT 用户，也不能据此把事件说成只影响 API 用户。 补充说明称，所有受影响用户都已在最初的通知过程中得到识别并收到通知，所涉信息类别并未改变。因此，对账号负责人而言，公开描述有所修订，并不自动意味着又有一批人遭遇新暴露，或发生了第二起事件。准备内部说明时，应把补充说明与原通报放在一起。
From a historical notice to a targeted handoff
- Dated notice and clarification
- Relevant service and users
- Affected and unaffected information
- Unanswered account questions
- Account or security owner
- Scoped action or hold
Keep event, publication and clarification dates distinct. Read the clarification with the original notice.
Match the reported service and user group without assuming every user, or only API users, was affected.
Separate potentially exposed account information from categories the supplier expressly says were unaffected.
Retain missing notification or account evidence as a question, not proof of exposure or safety.
Bring relevant communications and questions to the responsible person under the company’s existing process.
Record the owner’s actual instruction and conditions, or leave the question pending with a follow-up owner.
Del aviso histórico a una comunicación dirigida al personal
- Aviso y aclaración fechados
- Servicio y usuarios pertinentes
- Datos afectados y no afectados
- Dudas sobre las cuentas
- Responsable de cuentas o seguridad
- Acción delimitada o espera
Distinga las fechas del incidente, de publicación y de aclaración. Lea la aclaración junto al aviso original.
Identifique el servicio y grupo comunicados sin suponer que se vieron afectados todos los usuarios o solo los de la API.
Separe los datos de cuenta potencialmente expuestos de las categorías que el proveedor declara no afectadas.
La falta de una notificación o de datos de cuenta es una pregunta pendiente, no prueba de exposición ni de seguridad.
Entregue las comunicaciones y preguntas pertinentes a la persona responsable según el procedimiento de la empresa.
Registre la instrucción y condiciones reales, o mantenga la pregunta pendiente con una persona encargada del seguimiento.
De l’avis historique à une transmission ciblée
- Avis et clarification datés
- Service et utilisateurs concernés
- Données touchées ou non touchées
- Questions propres aux comptes
- Responsable des comptes ou de la sécurité
- Action délimitée ou attente
Distinguez les dates de l’événement, de publication et de clarification. Lisez la clarification avec l’avis initial.
Identifiez le service et le groupe signalés, sans supposer que tous les utilisateurs, ou seulement ceux de l’API, étaient touchés.
Séparez les données de compte potentiellement exposées des catégories expressément déclarées non touchées.
Une notification ou une preuve de compte manquante reste une question, pas une preuve d’exposition ou de sécurité.
Transmettez les communications et questions pertinentes au responsable selon la procédure existante de l’entreprise.
Consignez la consigne réellement donnée et ses conditions, ou laissez la question en attente avec un responsable du suivi.
Tarixiy xabardan xodimlarga aniq tushuntirishgacha
- Sanali xabar va aniqlashtirish
- Tegishli xizmat va foydalanuvchilar
- Ta’sirlangan va ta’sirlanmagan ma’lumotlar
- Hisobga oid ochiq savollar
- Hisob yoki xavfsizlik mas’uli
- Chegaralangan chora yoki kutish
Hodisa, nashr va aniqlashtirish sanalarini ajrating. Aniqlashtirishni asl xabar bilan birga o‘qing.
Xabardagi xizmat va guruhni aniqlang. Barcha foydalanuvchilar yoki faqat API foydalanuvchilari ta’sirlangan deb taxmin qilmang.
Oshkor bo‘lgan bo‘lishi mumkin bo‘lgan hisob ma’lumotlarini yetkazib beruvchi ta’sirlanmagan deb aniq aytgan toifalardan ajrating.
Yetishmayotgan bildirishnoma yoki hisob dalilini savol sifatida saqlang; bu oshkor bo‘lish yoki xavfsizlik isboti emas.
Tegishli xabarlar va savollarni korxonaning amaldagi tartibi bo‘yicha mas’ul kishiga bering.
Mas’ulning haqiqiy ko‘rsatmasi va shartlarini qayd eting yoki savolni kuzatib boruvchi mas’ul bilan ochiq qoldiring.
从历史通报到有针对性的员工说明
- 有日期的通报与补充说明
- 相关服务与用户
- 受影响与未受影响的信息
- 账号相关待查问题
- 账号或安全负责人
- 限定措施或暂缓
区分事件、发布和补充说明的日期。将补充说明与原通报一起阅读。
核对通报所指的服务和用户群体，不要假定所有人或只有 API 用户受影响。
把可能暴露的账号信息与服务商明确表示未受影响的类别分开。
缺少通知或账号证据时，保留问题；这既不证明暴露，也不证明安全。
按公司现有流程，将相关通知和问题交给负责人。
记录负责人实际给出的指引和条件；也可以保留待确认状态，并指定跟进人。
No chat exposure is important
Account information still deserves attentionQue no se expusieran conversaciones importa
Los datos de cuenta también merecen atenciónL’absence d’exposition des conversations compte
Les données de compte méritent aussi l’attentionSuhbatlar oshkor bo‘lmagani muhim
Hisob ma’lumotlari ham e’tiborga loyiq聊天内容未暴露，是重要区别
账号信息仍值得认真对待
The potentially affected information included account names and email addresses, approximate browser-derived location such as city, state and country, operating system and browser, referring websites, and organization or user identifiers. Referring websites are pages that directed someone to the service; identifiers distinguish accounts or organizations. These are details about an account and its use, rather than the conversation itself. According to OpenAI, chat content, prompts, responses, API requests and API usage data were not exposed. Neither were passwords, other access credentials, API keys, payment details or government IDs. API keys are credentials that let software access a service. Do not shorten this distinction to either “everything leaked” or “nothing sensitive happened.” OpenAI warned that the affected information could support credible-looking phishing or social engineering: messages designed to persuade someone to disclose information or take an unwanted action. A familiar name or account detail can make a message feel relevant without proving its sender is genuine. The notice supports that risk explanation; no resulting phishing outcome was measured here.Entre los datos potencialmente afectados figuraban nombres y correos electrónicos de las cuentas, ubicación aproximada deducida del navegador —como ciudad, estado o país—, sistema operativo y navegador, sitios web de procedencia e identificadores de organización o usuario. Los sitios de procedencia son las páginas desde las que alguien llegó al servicio; los identificadores distinguen cuentas u organizaciones. Son datos sobre la cuenta y su uso, no sobre la conversación en sí. Según OpenAI, no quedaron expuestos el contenido de los chats, las instrucciones enviadas, las respuestas, las solicitudes a la API ni los datos de uso de la API. Tampoco contraseñas, otras credenciales de acceso, claves de API, datos de pago ni documentos de identidad oficiales. Las claves de API permiten a un programa acceder a un servicio. No reduzca esta distinción a «se filtró todo» o «no ocurrió nada delicado». OpenAI advirtió que la información afectada podía facilitar mensajes de suplantación o engaños convincentes para inducir a alguien a revelar información o realizar una acción no deseada. Un nombre conocido o un dato de cuenta puede hacer que un mensaje parezca pertinente sin demostrar quién lo envía. El aviso respalda esta explicación del riesgo; aquí no se midió ningún resultado de ataques posteriores.Les informations potentiellement touchées comprenaient les noms et adresses électroniques des comptes, une localisation approximative déduite du navigateur, comme la ville, l’État ou le pays, le système d’exploitation et le navigateur, les sites d’origine de la visite, ainsi que les identifiants d’organisation ou d’utilisateur. Les sites d’origine sont les pages ayant dirigé une personne vers le service ; les identifiants distinguent les comptes ou organisations. Ces informations décrivent un compte et son utilisation, plutôt que la conversation elle-même. Selon OpenAI, ni le contenu des conversations, ni les instructions envoyées, les réponses, les requêtes à l’API ou les données d’utilisation de l’API n’ont été exposés. Il en va de même des mots de passe, autres identifiants d’accès, clés d’API, données de paiement et pièces d’identité officielles. Une clé d’API permet à un logiciel d’accéder à un service. Ne réduisez pas cette distinction à « tout a fuité » ou « rien de sensible ne s’est passé ». OpenAI a averti que les informations concernées pouvaient faciliter un hameçonnage ou une manipulation crédible : des messages destinés à pousser quelqu’un à divulguer des informations ou à effectuer une action indésirable. Un nom familier ou un détail de compte peut rendre un message pertinent en apparence sans authentifier son expéditeur. L’avis étaye cette explication du risque ; aucun résultat d’hameçonnage consécutif n’a été mesuré ici.Ta’sirlangan bo‘lishi mumkin bo‘lgan ma’lumotlar: hisobdagi ism va elektron pochta manzili, brauzer asosida taxmin qilingan shahar, shtat yoki mamlakat kabi umumiy joylashuv, operatsion tizim va brauzer, foydalanuvchini xizmatga yo‘naltirgan saytlar hamda tashkilot yoki foydalanuvchi identifikatorlari. Yo‘naltiruvchi sayt — kishi xizmatga o‘tgan sahifa; identifikator esa hisob yoki tashkilotni ajratib turuvchi belgi. Bular suhbatning o‘zi emas, hisob va undan foydalanish haqidagi ma’lumotlardir. OpenAIga ko‘ra, suhbat mazmuni, yuborilgan so‘rov matnlari, javoblar, API so‘rovlari va API foydalanish ma’lumotlari oshkor bo‘lmagan. Parollar, boshqa kirish ma’lumotlari, API kalitlari, to‘lov tafsilotlari va davlat bergan shaxsni tasdiqlovchi hujjatlar ham ta’sirlanmagan. API kaliti dasturga xizmatdan foydalanish imkonini beruvchi kirish ma’lumotidir. Buni «hamma narsa sizib chiqqan» yoki «hech qanday nozik masala yo‘q» deb soddalashtirmang. OpenAI ta’sirlangan ma’lumotlar ishonarli ko‘rinadigan fishing yoki ijtimoiy muhandislik uchun ishlatilishi mumkinligini ogohlantirgan. Bular kishini ma’lumot berishga yoki istalmagan ishni qilishga undaydigan aldov xabarlaridir. Tanish ism yoki hisob tafsiloti xabarni o‘rinli ko‘rsatishi mumkin, ammo jo‘natuvchining haqiqiyligini isbotlamaydi. Xabar shu xavfni tushuntirishga asos beradi; bu yerda undan keyingi fishing natijalari o‘lchanmagan.可能受影响的信息包括：账号姓名和电子邮箱地址、根据浏览器推断的大致位置，如城市、州和国家；操作系统和浏览器；访问来源网站；以及组织或用户标识。来源网站是指用户从哪个网页来到该服务；标识则用于区分账号或组织。这些是关于账号及其使用的信息，不是对话本身。 据 OpenAI 表示，聊天内容、提示词、回复、API 请求及 API 使用数据均未暴露；密码、其他访问凭据、API 密钥、付款信息和政府签发的身份证件也未受影响。API 密钥是软件访问服务所用的凭据。不能把这些区别简化为“什么都泄露了”，也不能说“没有任何值得关注的问题”。 OpenAI 提醒，这些信息可能被用于看似可信的钓鱼或社会工程攻击，也就是诱导收件人交出信息或做出不愿进行的操作。熟悉的姓名或账号细节，能让一条消息显得与工作有关，却不能证明发件人是真的。通报支持这种风险解释；本文没有测量事件之后是否实际发生了钓鱼损害。
Different exposed information
Calls for different questionsDatos expuestos distintos
Exigen preguntas distintasDes informations exposées différentes
Appellent des questions différentesOshkor bo‘lgan ma’lumotlar turlicha bo‘lsa
Beriladigan savollar ham farq qiladi暴露的信息不同
需要追问的问题也不同
A short historical contrast shows why the categories matter. In its March 24, 2023 notice about the March 20 ChatGPT outage, OpenAI said some users could see another active user’s history titles. A newly created conversation’s first message might also have been visible if both users were active around the same time. It separately described possible exposure of limited billing information for a subset of Plus subscribers active during the nine-hour window from 1 a.m. to 10 a.m. Pacific time on March 20: names, email and payment addresses, card type, last four digits and expiry date, not full card numbers. The March 24 notice said the bug was patched. This is not a present vulnerability claim. Those categories would prompt different questions from the 2025 analytics incident. For the latter, OpenAI’s FAQ did not recommend password resets or API-key replacement because those credentials were unaffected. That recommendation belongs to this incident; it is not a universal rule for responding to other notices or separate signs of account misuse.Un breve contraste histórico explica por qué importan las categorías. En su aviso del 24 de marzo de 2023 sobre la interrupción de ChatGPT del día 20, OpenAI indicó que algunos usuarios podían ver títulos del historial de otro usuario activo. También podía haberse mostrado el primer mensaje de una conversación recién creada si ambas personas estaban activas aproximadamente al mismo tiempo. Por separado, describió la posible exposición de información limitada de facturación de un subconjunto de suscriptores Plus activos entre la 1:00 y las 10:00, hora del Pacífico, del 20 de marzo: nombres, correo electrónico, dirección de pago, tipo de tarjeta, últimos cuatro dígitos y fecha de caducidad, pero no números completos de tarjeta. El aviso del 24 de marzo decía que el fallo se había corregido. No se afirma que exista una vulnerabilidad actual. Esas categorías plantearían preguntas distintas a las del incidente de análisis de actividad de 2025. En este último, las preguntas frecuentes de OpenAI no recomendaban restablecer contraseñas ni sustituir claves de API porque esas credenciales no se habían visto afectadas. La recomendación corresponde a ese incidente; no es una regla universal para otros avisos o indicios independientes de uso indebido de una cuenta.Un bref contraste historique montre l’importance des catégories. Dans son avis du 24 mars 2023 sur la panne de ChatGPT du 20 mars, OpenAI indiquait que certains utilisateurs avaient pu voir des titres de l’historique d’un autre utilisateur actif. Le premier message d’une nouvelle conversation avait également pu être visible si les deux utilisateurs étaient actifs à peu près au même moment. L’avis décrivait séparément une possible exposition de données de facturation limitées pour une partie des abonnés Plus actifs pendant les neuf heures allant de 1 h à 10 h, heure du Pacifique, le 20 mars : noms, adresses électroniques et de paiement, type de carte, quatre derniers chiffres et date d’expiration, mais pas les numéros complets. L’avis du 24 mars indiquait que le défaut avait été corrigé. Il ne s’agit pas d’une affirmation de vulnérabilité actuelle. Ces catégories susciteraient d’autres questions que l’incident d’analyse d’activité de 2025. Pour ce dernier, la FAQ d’OpenAI ne recommandait ni réinitialisation des mots de passe ni remplacement des clés d’API, puisque ces identifiants n’étaient pas touchés. Cette recommandation concerne cet incident, pas tous les autres avis ni des signes distincts d’utilisation abusive d’un compte.Qisqa tarixiy qiyos toifalar nega muhimligini ko‘rsatadi. OpenAI 2023-yil 20-martdagi ChatGPT uzilishi haqida 24-martda e’lon qilgan xabarida ayrim foydalanuvchilar boshqa faol foydalanuvchining suhbat tarixidagi sarlavhalarni ko‘rishi mumkin bo‘lganini aytgan. Ikkala foydalanuvchi taxminan bir vaqtda faol bo‘lsa, yangi suhbatning birinchi xabari ham ko‘rinib qolgan bo‘lishi mumkin. Alohida ravishda, 20-mart kuni Tinch okeani vaqti bilan soat 1:00–10:00 oralig‘idagi to‘qqiz soatda faol bo‘lgan Plus obunachilarining bir qismi uchun cheklangan to‘lov ma’lumotlari ko‘rinib qolishi mumkinligi bayon qilingan: ism-familiya, elektron pochta va to‘lov manzili, karta turi, oxirgi to‘rt raqami va amal qilish muddati. Karta raqamlari to‘liq oshkor bo‘lmagan. 24-martdagi xabarda xato tuzatilgani aytilgan. Bu hozirgi zaiflik haqidagi da’vo emas. Bu toifalar 2025-yilgi foydalanish tahlili hodisasidan boshqa savollarni tug‘diradi. 2025-yilgi hodisa bo‘yicha OpenAI savol-javoblarida parollarni tiklash yoki API kalitlarini almashtirish tavsiya etilmagan, chunki bu kirish ma’lumotlari ta’sirlanmagan. Tavsiya aynan shu hodisaga tegishli; boshqa xabarlar yoki hisobdan noto‘g‘ri foydalanishning alohida alomatlari uchun umumiy qoida emas.一个简短的历史对照足以说明数据类别为何重要。OpenAI 在 2023 年 3 月 24 日关于 3 月 20 日 ChatGPT 中断的通报中表示，部分用户可能看到了另一位活跃用户的聊天历史标题。如果双方在大致相同的时间活跃，新建对话的第一条消息也可能出现在对方的历史记录中。 通报另称，在 3 月 20 日太平洋时间凌晨 1 点至上午 10 点这九小时内活跃的部分 Plus 订阅用户，有限的账单信息可能被他人看到，包括姓名、电子邮箱、付款地址、卡片类型、卡号末四位及有效期，但不包括完整卡号。3 月 24 日的通报称漏洞已修复。这不是在声称当前仍存在该漏洞。 这些数据类别所引出的问题，与 2025 年的使用情况分析事件不同。对于后者，OpenAI 的常见问题解答没有建议重置密码或更换 API 密钥，理由是这些凭据未受影响。这项建议只针对该事件，不能当作处理其他通报或独立账号异常迹象的通用规则。
Give staff a scoped explanation
Give unresolved questions an ownerDé al personal una explicación delimitada
Asigne las preguntas pendientesTransmettez une explication délimitée
Attribuez les questions non résoluesXodimlarga doirasi aniq tushuntirish bering
Ochiq savollarni mas’ulsiz qoldirmang给员工一份范围明确的说明
给未解决的问题指定负责人
We propose a short reading aid for the company’s account or security owner: the dated notice and clarification, relevant service and user group, potentially affected information, expressly unaffected information, supplier recommendations and unresolved account-specific questions. This is editorial advice, not a company response tested here. Ask that owner to check relevant supplier communications against authorized account information through existing procedures. No company notification or account record was examined for this article. Not finding a message in one person’s inbox would not establish that the organization was unaffected. A staff handoff can explain which reported categories are relevant and where unexpected messages should go under company policy. OpenAI advised caution with unexpected links and attachments and said it does not request passwords, API keys or verification codes through email, text or chat. Any proposed staff instruction should retain that attribution and the incident’s limits. Record the owner’s actual decision, any conditions and who will resolve remaining questions. Where scope cannot be established, leave it unresolved rather than declaring everyone affected or everyone safe.Proponemos una breve ayuda de lectura para la persona responsable de las cuentas o de la seguridad: el aviso y la aclaración fechados, el servicio y grupo de usuarios pertinentes, la información potencialmente afectada, la expresamente no afectada, las recomendaciones del proveedor y las dudas propias de las cuentas. Es una propuesta editorial, no una respuesta empresarial probada aquí. Pida a esa persona que contraste las comunicaciones pertinentes del proveedor con información autorizada de las cuentas mediante los procedimientos existentes. Para este artículo no se examinó ninguna notificación ni registro de cuentas de empresa. No encontrar un mensaje en el buzón de una persona no demostraría que la organización no se vio afectada. La comunicación al personal puede explicar qué categorías comunicadas son pertinentes y dónde remitir mensajes inesperados según la política de la empresa. OpenAI aconsejó cautela ante enlaces y archivos adjuntos inesperados y afirmó que no solicita contraseñas, claves de API ni códigos de verificación por correo electrónico, mensajes de texto o chat. Cualquier instrucción propuesta debe conservar esa atribución y los límites del incidente. Registre la decisión real de la persona responsable, sus condiciones y quién resolverá las preguntas restantes. Si no puede establecerse el alcance, déjelo pendiente en vez de declarar que todos están afectados o que todos están a salvo.Nous proposons une courte aide à la lecture pour le responsable des comptes ou de la sécurité : avis et clarification datés, service et groupe d’utilisateurs pertinents, informations potentiellement touchées, informations expressément non touchées, recommandations du fournisseur et questions propres aux comptes. C’est une proposition éditoriale, pas une réponse d’entreprise testée ici. Demandez à ce responsable de rapprocher les communications pertinentes du fournisseur des informations de compte autorisées, selon les procédures existantes. Aucune notification ni aucun dossier de compte d’entreprise n’a été examiné pour cet article. L’absence de message dans une seule boîte de réception n’établirait pas que l’organisation n’était pas concernée. La transmission au personnel peut expliquer quelles catégories signalées sont pertinentes et à qui adresser les messages inattendus selon la politique de l’entreprise. OpenAI conseillait la prudence face aux liens et pièces jointes inattendus et déclarait ne pas demander de mots de passe, clés d’API ou codes de vérification par courriel, SMS ou conversation. Toute consigne proposée doit conserver cette attribution et les limites de l’incident. Consignez la décision réellement prise, ses conditions et la personne chargée des questions restantes. Si le périmètre ne peut pas être établi, laissez-le ouvert plutôt que de déclarer tout le monde touché ou tout le monde à l’abri.Korxonaning hisoblar yoki xavfsizlik uchun mas’ul kishisiga qisqa o‘qish qaydini taklif qilamiz: sanasi ko‘rsatilgan xabar va aniqlashtirish, tegishli xizmat va foydalanuvchi guruhi, ta’sirlangan bo‘lishi mumkin bo‘lgan ma’lumotlar, ta’sirlanmagani aniq aytilgan ma’lumotlar, yetkazib beruvchi tavsiyalari va aynan korxona hisoblariga oid ochiq savollar. Bu tahririy taklif, bu yerda sinovdan o‘tkazilgan korxona javob chorasi emas. Mas’ul kishidan yetkazib beruvchining tegishli xabarlarini foydalanishga ruxsat etilgan hisob ma’lumotlari bilan amaldagi tartibda solishtirishni so‘rang. Maqola uchun hech qanday korxona bildirishnomasi yoki hisob yozuvi tekshirilmadi. Bir kishining pochta qutisidan xabar topilmagani tashkilot ta’sirlanmaganini isbotlamaydi. Xodimlarga tushuntirishda xabardagi qaysi ma’lumot toifalari ularga tegishli ekani va kutilmagan xabarlarni korxona siyosatiga ko‘ra kimga yuborish kerakligi aytilishi mumkin. OpenAI kutilmagan havola va ilovalardan ehtiyot bo‘lishni tavsiya qilgan, elektron pochta, matnli xabar yoki chat orqali parol, API kaliti yoki tasdiqlash kodini so‘ramasligini aytgan. Taklif etiladigan ko‘rsatmada bu gap kimga tegishli ekani va hodisa chegaralari saqlanishi kerak. Mas’ul kishining haqiqiy qarorini, shartlarini va qolgan savollarni kim hal qilishini yozib qo‘ying. Doira aniqlanmasa, hamma ta’sirlangan yoki hamma xavfsiz deyish o‘rniga uni ochiq qoldiring.我们建议，为企业账号或安全负责人准备一份简短的阅读记录：注明日期的通报和补充说明、相关服务及用户群体、可能受影响的信息、明确未受影响的信息、服务商建议，以及本企业账号尚待确认的问题。这是编辑层面的建议，并非本文测试过的企业处置流程。 请负责人按现有程序，将服务商的相关通知与获准查阅的账号信息核对。本文没有查看任何企业通知或账号记录。某个人的收件箱里找不到通知，并不能证明整个组织未受影响。 面向员工的说明可以交代哪些通报类别与他们有关，以及按公司政策应把可疑消息交给谁。OpenAI 建议谨慎对待意外收到的链接和附件，并表示不会通过电子邮件、短信或聊天索要密码、API 密钥或验证码。拟定员工指引时，应保留这些建议的出处和适用事件范围。 记录负责人实际作出的决定、附带条件，以及谁来跟进剩余问题。范围无法确定时，就保留待确认状态，不要宣布所有人都受影响，也不要宣布所有人都安全。
Two historical official accounts
Not a current safety verdictDos versiones oficiales históricas
No un veredicto sobre la seguridad actualDeux récits officiels historiques
Pas un verdict sur la sécurité actuelleIkki tarixiy rasmiy bayon
Hozirgi xavfsizlik haqida hukm emas两份历史官方通报
不是对当前安全状况的判定
The source fragments were retrieved on October 27, 2026, the date of this article, not the date of either incident. We checked the returned publication headings, the December clarification, affected fields, response and relevant FAQ. One FAQ hostname conflicts with the explicit clarification; this account follows that clarification without reproducing the address. The 2023 notice’s patch statement and the 2025 notice’s termination statement are historical provider reports, not independent proof of current safety. No exhaustive incident or correction survey was conducted, and later changes beyond the checked passages remain unestablished. Neither a provider-wide judgment nor an architecture ranking follows from these two notices.Los fragmentos se consultaron el 27 de octubre de 2026, fecha de este artículo, no de los incidentes. Se comprobaron los encabezados de publicación, la aclaración de diciembre, los datos afectados, la respuesta y las preguntas frecuentes pertinentes. Un nombre de servidor en estas últimas contradice la aclaración explícita; este artículo sigue esa aclaración sin reproducir la dirección. La corrección comunicada en 2023 y el cese de uso comunicado en 2025 son declaraciones históricas del proveedor, no pruebas independientes de seguridad actual. No se realizó una búsqueda exhaustiva de incidentes o correcciones; los cambios posteriores que excedan los pasajes consultados no están establecidos. Estos dos avisos no permiten juzgar al proveedor en su conjunto ni clasificar arquitecturas.Les fragments ont été consultés le 27 octobre 2026, date de cet article, et non des incidents. Les en-têtes de publication, la clarification de décembre, les données concernées, la réponse et les passages pertinents de la FAQ ont été vérifiés. Un nom d’hôte de la FAQ contredit la clarification explicite ; ce récit suit cette dernière sans reproduire l’adresse. La correction annoncée en 2023 et l’arrêt d’utilisation annoncé en 2025 sont des déclarations historiques du fournisseur, pas des preuves indépendantes de sécurité actuelle. Aucun examen exhaustif des incidents ou corrections n’a été mené ; les évolutions ultérieures au-delà des passages consultés restent non établies. Ces deux avis ne permettent ni de juger l’ensemble du fournisseur ni de classer des architectures.Manba parchalari 2026-yil 27-oktabrda, ushbu maqola sanasida olindi; bu hodisalar sanasi emas. Nashr sarlavhalari, dekabrdagi aniqlashtirish, ta’sirlangan ma’lumotlar, javob choralari va tegishli savol-javoblar tekshirildi. Savol-javoblardagi bitta server nomi aniq berilgan izohga zid; maqola manzilni takrorlamasdan o‘sha aniqlashtirishga tayanadi. 2023-yildagi tuzatish va 2025-yildagi foydalanishni tugatish haqidagi gaplar yetkazib beruvchining tarixiy bayonlari, hozirgi xavfsizlikning mustaqil isboti emas. Hodisalar yoki tuzatishlar bo‘yicha to‘liq qidiruv o‘tkazilmadi; o‘qilgan parchalardan tashqaridagi keyingi o‘zgarishlar aniqlanmagan. Bu ikki xabar butun yetkazib beruvchiga baho berish yoki arxitekturalarni ustunlik bo‘yicha saralashga asos bo‘lmaydi.本文于 2026 年 10 月 27 日读取来源片段，这也是本文日期，不是两起事件的发生日期。已核对返回内容中的发布标题及日期、12 月补充说明、受影响数据、应对措施和相关问答。问答中的一个主机名与明确的补充说明不一致；本文依据后者，不复述该地址。2023 年的修复声明和 2025 年的终止使用声明，都是服务商当时的说法，不是对当前安全状况的独立证明。本文未穷尽搜索事件或更正，所读段落之外的后续变化仍未确定。不能据这两份通报评判服务商的所有产品，也不能给不同架构排出安全高下。