Mixpanel piraté par SMS : l’alerte qui a fait trembler les utilisateurs d’OpenAI

Publié le 27-11-2025 11:04:34 et mis à jour le 27-11-2025 11:07:00

Si vous utilisez la plateforme d’OpenAI pour les développeurs, celle où l’on gère ses clés API, vous avez probablement reçu, il y a peu, un message au ton très mesuré, mais au contenu explosif : un « Avis de sécurité important ». Rassurez-vous tout de suite : non, les pirates n’ont pas lu vos conversations avec ChatGPT, ni volé vos clés secrètes pour GPT-4o, ni siphonné votre carte bancaire. Mais, et c’est là le hic, un ancien partenaire d’OpenAI, la société d’analyse de données Mixpanel, a été victime d’une cyberattaque. Cet incident a permis aux escrocs de mettre la main sur une partie non négligeable des informations que l’on laisse derrière soi en utilisant un service web. Il est crucial de comprendre ce qui s’est passé, car la véritable menace ne réside pas dans ce qui a fuité, mais dans ce que les voleurs vont en faire.

*Page du message de sécurité Mixpanel (Crédit : capture Mixpanel)*

Un SMS anodin, mais une porte d’entrée fatale

L’histoire, on la connaît bien, mais elle continue de marcher, même en 2025. Tout a démarré autour du 8 ou 9 novembre. Des salariés ou des clients de Mixpanel ont vu apparaître sur leur téléphone un SMS, ce qu’on appelle du smishing, qui ressemblait étrangement à une alerte d’expiration de compte. Évidemment, c’était un leurre. Quelques clics plus tard, des identifiants valides se sont retrouvés entre les mains d’un attaquant. La réaction de Mixpanel fut rapide, coupant l’accès aux sessions compromises et faisant appel à des experts en sécurité. Un incident classique dans le monde de la tech, mais il a pris une tournure bien plus sérieuse en découvrant les ramifications qu’on n’avait pas vues venir.

Le lien Mixpanel-OpenAI, le maillon faible inattendu

Ce que Mixpanel a tardé à révéler, c’est l’ampleur des données accessibles. En effet, leurs serveurs hébergeaient des données d’analyse très sensibles pour des clients de grande envergure, dont OpenAI. En substance, dès que quelqu’un se connectait au tableau de bord des développeurs (platform.openai.com), Mixpanel collectait des métadonnées : l’adresse mail, le nom rattaché au compte, la zone géographique approximative de connexion, le type de navigateur utilisé, l’ID de l’organisation... Toutes ces informations, qui sont habituellement récoltées pour des statistiques d’utilisation, ont pu être téléchargées en masse par le pirate. Ce ne sont pas des clés API, certes, mais des milliers de noms et d’e-mails liés explicitement à l’écosystème OpenAI se sont retrouvés dans la nature.

Réaction d’OpenAI : transparence totale et coup de frein immédiat

C’est le 25 novembre que Mixpanel a enfin transmis à son client le fichier contenant l’intégralité des données dérobées. En deux jours à peine, OpenAI a pris une décision radicale : Mixpanel a été débranché de tous ses systèmes en production, et le mail d’alerte a été envoyé à tous les utilisateurs de l’API. Cette réaction, rapide et sans filtre, traduit une volonté de jouer la carte de la transparence absolue, quitte à créer un petit vent de panique. Pour la société, il était hors de question d’attendre que l’affaire éclate dans la presse ou que les premières vagues de tentatives de fraude ciblées se manifestent. La messe était dite : « On rompt les ponts, on vous prévient, et on vous conseille de redoubler de vigilance », voilà le message.

La transparence est importante pour OpenAI, qui informe d’un incident de sécurité survenu chez Mixpanel, un fournisseur d’analyse de données qu’OpenAI utilisait pour l’analyse web sur l’interface frontend de son produit API (platform.openai.com). L’incident s’est produit dans les systèmes de Mixpanel et a impliqué des données d’analyse limitées concernant votre compte API.Il est précisé qu’il ne s’agissait pas d’une violation des systèmes d’OpenAI. Aucune donnée de chat, requête API, donnée d’utilisation API, mot de passe, identifiant, clé API, détail de paiement ou pièce d’identité gouvernementale n’a été compromise ou exposée.
Avis de Sécurité OpenAI

Vos secrets sont en sécurité, mais pas votre profil

Pour être très précis et calmer les esprits, il est essentiel de rappeler ce qui n’a pas fuité. Vos prompts passés à GPT-4, vos clés API permettant de faire tourner vos applications, vos mots de passe, vos informations de paiement : tout cela est resté bien au chaud dans les serveurs d’OpenAI et n’a pas été affecté par l’incident chez leur prestataire. Ce qui est en revanche entre les mains des pirates, si vous avez un compte sur la plateforme, c’est votre nom complet, l’adresse e-mail associée à ce compte, l’endroit d’où vous vous connectez (la ville, le pays), et des détails techniques sur l’appareil que vous utilisez. C’est déjà une très bonne nouvelle que les données les plus sensibles n’aient pas été compromises.

Le vrai danger, c’est le « phishing » qui viendra après

Alors, pourquoi un tel émoi pour des informations qui semblent si basiques ? Parce que ce sont les ingrédients parfaits pour orchestrer des arnaques très crédibles. Imaginez : un escroc dispose désormais de votre nom, de votre e-mail, et sait que vous êtes un utilisateur de l’API OpenAI. Cela lui permet de concocter un message ultra-personnalisé : « Bonjour [Votre Prénom], votre clé API nécessite une vérification urgente » ou « Un problème sur votre dernière facture : cliquez ici pour régulariser votre compte ». Ces tentatives de phishing sont d’autant plus efficaces qu’elles s’appuient sur des informations réelles. L’objectif final est de vous faire cliquer sur un lien vérolé pour voler, cette fois pour de bon, vos précieuses clés API ou vos identifiants de connexion.

Activez la MFA maintenant !

C’est la raison pour laquelle le message d’OpenAI insiste sur une recommandation que l’on ne saurait trop répéter : activez l’authentification à plusieurs facteurs, la fameuse MFA, si ce n’est pas déjà fait. Sérieusement, c’est le moment idéal pour le faire. Le second point de vigilance est de devenir paranoïaque avec les messages urgents. Un e-mail d’OpenAI qui vous demande de valider une clé ou de payer une facture par un clic immédiat doit être considéré comme suspect jusqu’à preuve du contraire. C’est la seule barrière efficace contre les arnaques ciblées qui ne manqueront pas de surgir dans les jours ou semaines à venir.

Mixpanel minimise, OpenAI coupe le cordon

Du côté de Mixpanel, la communication est plus feutrée. Un court communiqué a été publié, qui évoque le smishing sans mentionner explicitement les données d’analyse ni le nom d’OpenAI, parlant d’un « nombre limité » de clients touchés. C’est la stratégie habituelle pour contenir l’onde de choc. En interne, on a forcé la réinitialisation de tous les mots de passe des employés et renforcé les dispositifs de sécurité. Reste à voir si cela suffira à rassurer les entreprises qui, comme OpenAI, leur confiaient des données stratégiques. En tout cas, le géant de l’intelligence artificielle a pris les devants en tranchant net.

Votre feuille de route pour les prochains jours

Si vous faites partie des utilisateurs qui ont reçu l’alerte, pas de panique, mais une vigilance accrue est de mise. Inutile de changer vos clés API ou vos mots de passe dans la précipitation, car ces éléments ne sont pas concernés. Concentrez-vous plutôt sur ces trois points : d’abord, activez la double authentification sur votre compte OpenAI API dès aujourd’hui. Ensuite, relisez chaque e-mail qui mentionne OpenAI avec un œil critique, même s’il paraît officiel. Et surtout, n’entrez jamais vos identifiants ni vos clés API sur un site qui vous est soumis par un lien dans un e-mail non sollicité. Cette histoire nous rappelle une chose essentielle : personne n’est à l’abri d’une faille, pas même les leaders de la tech. C’est la réaction des utilisateurs qui fera la différence.