ChatGPT expuso por error información de usuarios pagos, incluyendo e-mails y dígitos de sus tarjetas

La firma de ciberseguridad ESET advirtió este martes sobre un fallo que habría expuesto el historial de preguntas de usuarios de OpenAI e información de pago de suscriptores a ChatGPT Plus.

El fallo permitió por un período de tiempo que usuarios puedan ver preguntas del historial de búsqueda de otros usuarios de ChatGPT y expuso información personal de un pequeño porcentaje de suscriptores al plan pago de este servicio, como nombre y apellido, dirección de correo asociada al pago, los últimos cuatro dígitos de la tarjeta de crédito y la fecha de expiración.

Según la compañía, la situación comenzó el pasado 20 de marzo cuando usuarios a través de Twitter y Reddit comenzaron a reportar que en su historial de preguntas aparecían consultas realizadas por otros usuarios. En algunos casos en otros idiomas.

Más tarde, confirmó OpenAI en un comunicado, todo esto provocó que se suspendiera el servicio de ChatGPT por un tiempo hasta que se corrigió el fallo y luego el servicio se restableció.

Además del historial de consultas, algunas personas también reportaron que en la página de pagos para ChatGPT Plus aparecía la dirección de correo de otros usuarios.

En el caso de los datos de pago, según explicó OpenAI, el fallo afectó al 1.2% de suscriptores activos a ChatGPT Plus y si bien la información expuesta incluía los últimos cuatro dígitos de las tarjetas de crédito, en ningún caso quedaron expuestos los números completos. La compañía detrás de ChatGPT aseguró que se contactó con los usuarios afectados por la exposición de esta información y confía en que los datos personales de los usuarios ya no están en riesgo.

OpenAI confirmó que lo que provocó esta exposición de información fue un fallo que radicaba en el cliente de la librería de código abierto Redis, y que envió un parche al equipo de mantenimiento de Redis que ya corrigió el error.

Además del fallo que permitió la exposición de información, se reportó a OpenAI una vulnerabilidad que permitía realizar ataques de Web Cache Deception. Esta vulnerabilidad, que ya fue corregida, permitía robar cuentas de terceros, ver el historial de consultas y acceder a los datos de pago de las cuentas.