Anfang Februar 2025 bot ein Bedrohungsakteur unter dem Pseudonym „emirking“ auf BreachForums Zugangsdaten von angeblich 20 Millionen OpenAI-Nutzern zum Kauf an. Eine Untersuchung von Kela ergab, dass keine direkte Kompromittierung der OpenAI-Infrastruktur stattfand — die Daten wurden stattdessen durch Infostealer-Malware von infizierten Nutzersystemen gestohlen.
Ursprung der Datenkompromittierung identifiziert
Erste Vermutungen der Cybersicherheitsexperten von Malwarebytes deuteten auf eine potenzielle Sicherheitslücke im Authentifizierungssystem von OpenAI hin. Detaillierte Untersuchungen durch das Sicherheitsunternehmen Kela zeigten jedoch, dass die Daten durch spezialisierte Malware-Programme, sogenannte Infostealer, abgegriffen wurden. Diese Erkenntnis widerlegt die anfängliche Hypothese eines direkten Systemeinbruchs.
Technische Analyse der Malware-Kampagne
Die forensische Untersuchung identifizierte mehrere hochentwickelte Malware-Varianten als Ursprung der Datenkompromittierung. Zu den eingesetzten Infostealern gehören Redline, RisePro, StealC, Lumma und Vidar. Diese Schadsoftware ist darauf spezialisiert, systematisch Zugangsdaten aus infizierten Systemen zu extrahieren und an die Angreifer zu übermitteln.
Sicherheitsimplikationen und Unternehmensreaktion
OpenAI reagierte umgehend mit der Einleitung einer internen Untersuchung. Das Unternehmen bestätigte, dass keine direkten Einbrüche in die OpenAI-Infrastruktur festgestellt wurden. Dennoch besteht ein erhebliches Risiko für kompromittierte Accounts, insbesondere im Hinblick auf unbefugten API-Zugriff und möglichen Missbrauch sensibler Nutzerdaten.
Schutzmaßnahmen für betroffene OpenAI-Nutzer
- OpenAI-Passwort ändern, insbesondere wenn dasselbe Passwort auf anderen Diensten verwendet wird.
- 2FA im OpenAI-Account aktivieren: Einstellungen → Sicherheit → Zwei-Faktor-Authentifizierung.
- Aktive API-Schlüssel in den OpenAI-Einstellungen prüfen und nicht genutzte widerrufen.
- Auf dem betroffenen System nach Infostealer-Indikatoren suchen: unbekannte Browser-Erweiterungen, ungewöhnliche Netzwerkverbindungen, verdächtige Prozesse.
