OpenAI 3月20日 ChatGPT 停止とデータ漏洩分析

TL;DR

OpenAIは2023年3月20日に、オープンソースライブラリのバグが一部のユーザーに他のアクティブユーザーのチャットタイトルや新しい会話の最初のメッセージを閲覧させていたことが判明したため、ChatGPTをオフラインにしました。さらに、このバグにより、特定の9時間のウィンドウでアクティブなChatGPT Plus加入者の約1.2%の支払い関連情報が漏洩しました。

根本原因：オープンソースライブラリのバグ

ChatGPTはオープンソースライブラリのバグに対処するためにオフラインにされました。このバグにより、アクティブなユーザーが別のアクティブユーザーのチャット履歴のタイトルを見ることができるデータ漏洩が発生しました。場合によっては、両者が同時にアクティブであった場合に、新しく作成された会話の最初のメッセージも他のアクティブユーザーに表示されました。

OpenAIはその後バグを修正し、チャット履歴機能を含むサービスを復旧しましたが、数時間分の履歴は失われました。

ChatGPT Plus 支払い情報の漏洩

調査の結果、同じライブラリのバグにより、2023年3月20日月曜日の太平洋時間午前1時から午前10時までの9時間のウィンドウでアクティブだったChatGPT Plus加入者の1.2%に対して支払い関連情報が意図せず表示されていたことが判明しました。

漏洩したデータ項目

影響を受けたユーザーについて、以下の情報が他のアクティブユーザーに表示されていた可能性があります：

• 名と姓
• メールアドレス
• 支払い先住所
• クレジットカードの種類
• クレジットカード番号の下4桁
• クレジットカードの有効期限

OpenAIは、クレジットカード番号全体が一切漏洩していないことを明確に述べています。

アクセス経路

この支払い情報が漏洩した主な方法は2つありました：

1. サブスクリプション確認メール: 2023年3月20日の太平洋時間午前1時から午前10時の間に生成された一部の確認メールが誤ったユーザーに送信されました。これらのメールには、別のユーザーのクレジットカードの種類と下4桁が含まれていました。
2. アカウント管理インターフェース: 2023年3月20日の太平洋時間午前1時から午前10時の間に、ユーザーが「My account」→「Manage my subscription」をクリックすると、別のアクティブなChatGPT Plus加入者の支払い詳細が表示される可能性がありました。

緩和策とユーザーへの通知

OpenAIは、支払い情報が漏洩した可能性のあるすべての影響を受けたユーザーに通知するために連絡を取りました。同社は、パッチ適用後にユーザーのデータに対する継続的なリスクはないと自信を示しています。

"OpenAIの全員がユーザーのプライバシー保護とデータの安全確保にコミットしています。この責任は非常に真剣に受け止めています。残念ながら、今週はそのコミットメントとユーザーの期待に応えることができませんでした。"

OpenAIはユーザーとコミュニティに対し、信頼回復のために謝罪しました。