OpenAIの3rdパーティ分析プロバイダーがデータ侵害を公表(2025年11月30日公開)

2025年11月27日、米国カリフォルニア州のAI分析企業Mixpanelは、セキュリティインシデントを公表した。同社によると、2025年11月8日、スミッシング（SMSを利用したフィッシング）攻撃を検知したという。

Mixpanelは、直ちにインシデント対応プロセスを実行し、不正アクセスの封じ込めと排除、影響を受けたユーザーアカウントの保護に向けて包括的な対策を講じた。また、外部のサイバーセキュリティ専門機関と連携し、対応と復旧に当たった。影響を受けたすべての顧客に対しては、同社から連絡したという。

Mixpanelは、インシデント対応策として、以下のようなことを実施したとしている。

・影響を受けたアカウントの保護 ・すべてのアクティブなセッションおよびサインインの無効化 ・影響を受けたアカウントに対するMixpanel認証情報の変更（ローテーション） ・悪意のあるIPアドレスのブロック ・SIEMプラットフォームへのIOC（インジケーター・オブ・コンプロマイズ）の登録 ・全Mixpanel従業員のパスワードをグローバルにリセット ・封じ込めおよび排除措置に関する助言を得るため、外部のフォレンジック調査会社と連携 ・影響を受けたアカウントにおける認証、セッション、エクスポートログのフォレンジックレビューを実施 ・今後同様の活動を検知・遮断するための追加的な管理策を導入 ・法執行機関および外部のサイバーセキュリティアドバイザーとの連携

他方、同じ11月27日、OpenAIは、同社がAPI製品のフロントエンドインターフェースにおけるWeb解析に利用していたデータ分析プロバイダーMixpanelでセキュリティインシデントが発生したことを公表した。このインシデントはMixpanelのシステム内で発生し、OpenAI Platform のAPIの一部ユーザーに関連する限定的な分析データが関与していたという。ChatGPTやその他の製品のユーザーには影響はないとしている。

なお、今回のインシデントはOpenAIのシステムが侵害されたものではなく、チャット内容、APIリクエスト、API利用データ、パスワード、認証情報、APIキー、支払い情報、政府発行のIDなどが漏えい・露出した事実は一切ないとしている。

OpenAIの説明によると、2025年11月9日、Mixpanelは、攻撃者が自社システムの一部に不正アクセスし、限定的な顧客識別情報および分析情報を含むデータセットを外部に持ち出していたことを把握した。MixpanelはOpenAIに対し調査中であることを通知し、2025年11月25日には影響を受けたデータセットをOpenAIに共有したとしている。

Mixpanelから外部に持ち出されたデータには、OpenAI Platformの利用に関連するユーザープロファイル情報が含まれていた可能性がある。影響を受けた可能性のある情報は、以下の範囲に限定されている。

・APIアカウントに登録された氏名 ・APIアカウントに紐づくメールアドレス ・APIユーザーのブラウザに基づくおおよその位置情報（市区町村、州、国） ・APIアカウントにアクセスする際に使用されたオペレーティングシステムおよびブラウザ ・リファラー（参照元）ウェブサイト ・APIアカウントに関連付けられた組織IDまたはユーザーID

OpenAIは、今回のセキュリティ調査の一環として、Mixpanelを本番環境から削除し、影響を受けたデータセットを精査した。また、インシデントの全容を把握するために、Mixpanelおよび他のパートナーと緊密に連携しているとしている。現在、影響を受けた組織、管理者、ユーザーに対して、個別に通知を行っている。Mixpanelの環境外でシステムやデータに影響が及んだ証拠はこれまでのところ確認されていないが、不正利用の兆候がないか、引き続き注意深く監視を続けていくとしている。

OpenAIは、今回影響を受けた可能性のある情報が、フィッシングやソーシャルエンジニアリング攻撃に悪用されるおそれがありため、以下のような点に留意するよう呼びかけている。

・予期しないメールやメッセージには注意し、特にリンクや添付ファイルが含まれている場合は慎重に対応すること。 ・OpenAIからの連絡だと主張するメッセージが、公式のOpenAIドメインから送信されているかを必ず確認すること。 ・OpenAIがメール、SMS、チャットを通じてパスワード、APIキー、認証コードを求めることはない。 ・アカウントをさらに保護するために、多要素認証（MFA）の有効化を推奨する。

(参考文献) ・Mixpanel, “Our response to a recent security incident”, November 27, 2025 https://mixpanel.com/blog/sms-security-incident/ ・OpenAI, “What to know about a recent Mixpanel security incident”, November 27, 2025 https://openai.com/index/mixpanel-incident/

笹原英司 https://www.linkedin.com/in/esasahara/ 旧労働省（現厚生労働省）労働基準監督官を経て、デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク管理関連調査研究／コンサルティングに従事する 現在は、クラウドセキュリティアライアンス、在日米国商工会議所、在日デンマーク商工会議所などで、スタートアップ企業支援活動を行っている。 千葉大学大学院医学薬学府博士課程修了（博士・医薬学）

Eiji Sasahara, Ph.D., MBA After serving as a Labor Standards Inspector at the former Ministry of Labour (now the Ministry of Health, Labour and Welfare), engaged in various areas, including digital marketing (B2B/B2C) and research, studies, and consulting related to governance and risk management within the healthcare, nursing, welfare, and life sciences industries. Currently, get involved in supporting startup companies through organizations such as the Cloud Security Alliance, the American Chamber of Commerce in Japan, and the Danish Chamber of Commerce in Japan. Hold a Ph.D. in Medical and Pharmaceutical Sciences from the Graduate School of Medical and Pharmaceutical Sciences, Chiba University.