<p>在美国感恩节假期前几个小时，分析服务提供商 Mixpanel 宣布了一起网络安全事件，这可能为如何 <strong>不</strong> 宣布数据泄露设定了新的标准。</p>
<p>回顾一下：上周三，Mixpanel 首席执行官 Jen Taylor 在一篇简短的博客文章中宣布，该公司在 11 月 8 日检测到一起未指明的安全事件，影响了一些客户，但并未说明他们受到的影响程度，也没有透露受影响的客户数量，只表示 Mixpanel 采取了一系列安全措施以 “消除未经授权的访问”。</p>
<p>Mixpanel 的首席执行官 Jen Taylor 没有回复 TechCrunch 的多封电子邮件，这些邮件中包含了十多个关于公司数据泄露的问题。我们询问 Taylor 公司是否收到了黑客的任何通信，例如索要金钱的要求，以及关于泄露的其他具体问题，包括 Mixpanel 员工账户是否使用了多因素认证进行保护。</p>
<p>受影响的客户之一是 OpenAI，该公司在两天后发布了自己的博客文章，确认了 Mixpanel 在其文章中未明确说明的内容，即客户数据已从 Mixpanel 的系统中被盗取。</p>
<p>OpenAI 表示，因依赖 Mixpanel 提供的软件来帮助理解 OpenAI 用户如何与其网站的某些部分（如开发者文档）互动，因此受到此次泄露的影响。</p>
<p>受 Mixpanel 泄露影响的 OpenAI 用户可能是开发者，他们的应用或网站依赖于 OpenAI 的产品来正常运行。OpenAI 表示，其被盗数据包括用户提供的姓名、电子邮件地址、基于 IP 地址的近似位置（如城市和州）以及一些可识别的设备数据，如操作系统和浏览器版本。这些信息与 Mixpanel 从用户使用应用和浏览网站时收集的数据类型相同。</p>
<p>OpenAI 发言人 Niko Felix 告诉 TechCrunch，来自 Mixpanel 的被泄露数据 “未包含诸如 Android 广告 ID 或 Apple 的 IDFA 等标识符”，这可能使得更容易识别特定的 OpenAI 用户或将他们的 OpenAI 活动与其他应用和网站的使用情况结合起来。</p>
<p>OpenAI 在其博客文章中表示，此事件并未直接影响 ChatGPT 用户，并因此终止了与 Mixpanel 的合作。</p>
<p>尽管泄露的细节仍然有限，但这一事件引发了对数据分析行业的新一轮审视，该行业通过收集大量关于人们如何使用网站和应用的信息而获利。</p>
<h2>Mixpanel 如何跟踪点击、点击和监控您的屏幕</h2>
<p>Mixpanel 是最大的网络和移动分析公司之一，除非您在应用开发或营销领域工作，否则您可能从未听说过。根据其网站，Mixpanel 拥有 8000 个企业客户——在 OpenAI 提前退出后，现在少了一个。</p>
<p>由于每个 Mixpanel 客户可能拥有数百万用户，因此在此次泄露中被盗取的普通人数据数量可能相当可观。被泄露数据的类型可能因每个 Mixpanel 客户而异，具体取决于每个客户如何配置其数据收集以及收集了多少用户数据。</p>
<p>像 Mixpanel 这样的公司是一个蓬勃发展的行业的一部分，该行业提供跟踪技术，使公司能够了解其客户和用户如何与其应用和网站互动。因此，分析公司可以收集和存储大量信息，包括数十亿个数据点，关于普通消费者的。</p>
<p>例如，应用开发者或网站开发者可以在其应用或网站中嵌入来自像 Mixpanel 这样的分析公司的代码，以获得这种可见性。对于应用用户或网站访客来说，这就像在您浏览网站或使用应用时，有人悄悄地在您肩膀上观察，同时不断与开发该应用或网站的公司分享每一次点击、轻触、滑动和链接按压。</p>
<p>在 Mixpanel 的案例中，很容易看到 Mixpanel 从其代码嵌入的应用和网站中收集的数据类型。使用像 Burp Suite 这样的开源工具，TechCrunch 分析了流入和流出几个嵌入了 Mixpanel 代码的应用的网络流量——例如 Imgur、Lingvano、Neon 和 Park Mobile。在我们的各种测试中，我们看到在使用这些应用时，上传到 Mixpanel 的设备和应用内活动信息的程度各不相同。</p>
<p>这些数据可以包括个人的活动，例如打开应用、点击链接、滑动页面或使用用户名和密码登录等。例如，这些事件日志数据随后会附加到有关用户及其设备的信息上，包括设备类型（如 iPhone 或 Android）、屏幕宽度和高度、用户是否在手机网络或 Wi-Fi 上、用户的移动网络运营商、已登录用户在该服务中的唯一标识符（可以与应用用户关联）以及该事件的精确时间戳。</p>
<p>收集的数据可以根据客户配置其数据收集的方式而有所不同，有时还会收集应当禁止的信息。Mixpanel 在 2018 年承认，其分析代码无意中收集了用户的密码。</p>
<p>分析公司收集的数据旨在进行假名化——本质上是以一种不包含可识别细节（如个人姓名）的方式进行混淆。相反，收集的信息被归因于一个独特但看似随机的标识符，用于替代个人姓名；这是一种表面上更能保护隐私的数据存储方式。但假名化数据可以被逆向处理，从而识别出人们的真实身份。此外，关于个人设备收集的数据可以用于唯一识别该设备，这被称为 “指纹识别”，也可以用于跟踪该用户在不同应用程序和互联网中的活动。</p>
<p>通过跟踪您在各种应用程序上设备上的操作，分析公司使其客户更容易建立用户及其活动的档案。</p>
<p>Mixpanel 还允许其客户收集 “会话重放”，这可以直观地重建公司用户与应用程序或网站的互动，以便开发人员识别错误和问题。会话重放旨在排除任何收集的用户会话中的个人可识别或敏感信息，如密码和信用卡号码，但这个过程也并不完美。</p>
<p>根据 Mixpanel 自己的承认，会话重放有时可能包含不应被记录的敏感信息，但这些信息是无意中收集的。在 TechCrunch 于 2019 年曝光这一做法后，苹果对使用屏幕录制代码的应用程序进行了打击。</p>
<p>说 Mixpanel 在其泄露事件中有问题需要回答，或许是轻描淡写。在不知道涉及的具体数据类型的情况下，不清楚这次泄露的规模有多大，可能会影响多少人。Mixpanel 可能尚不清楚。</p>
<p>显而易见的是，像 Mixpanel 这样的公司存储着大量关于人们及其使用应用程序的信息，并且显然成为恶意黑客的关注焦点。</p>
<p><em>您对 Mixpanel 数据泄露了解更多吗？您在 Mixpanel 或受泄露影响的公司工作吗？我们希望听到您的声音。要安全地联系这位记者，您可以通过用户名：zackwhittaker.1337 使用 Signal 进行联系。</em></p>

OpenAI

<p>Mixpanel，一家主要的分析服务提供商，经历了一次数据泄露事件，影响了包括 OpenAI 在内的客户。该泄露事件在感恩节前夕宣布，但缺乏关于范围和影响的详细信息。OpenAI 确认其数据已被泄露，因此终止了与 Mixpanel 的服务。此事件突显了数据分析中的脆弱性，引发了人们对像 Mixpanel 这样的公司收集的大量数据的担忧</p>

<p>A cybersecurity incident at analytics provider Mixpanel announced just hours before the U.S. Thanksgiving holiday weekend could set a new standard for how <em>not</em> to announce a data breach.</p>
<div class="lb-trans"><p>在美国感恩节假期前几个小时，分析服务提供商 Mixpanel 宣布了一起网络安全事件，这可能为如何 <strong>不</strong> 宣布数据泄露设定了新的标准。</p>
</div><p>To recap: In a bare bones blog post last Wednesday, Mixpanel chief executive Jen Taylor announced that the company had detected an unspecified security incident on November 8 that affected some of its customers, but didn’t say how they were affected, nor how many, only that Mixpanel had taken a range of security actions to “eradicate unauthorized access.”</p>
<div class="lb-trans"><p>回顾一下：上周三，Mixpanel 首席执行官 Jen Taylor 在一篇简短的博客文章中宣布，该公司在 11 月 8 日检测到一起未指明的安全事件，影响了一些客户，但并未说明他们受到的影响程度，也没有透露受影响的客户数量，只表示 Mixpanel 采取了一系列安全措施以 “消除未经授权的访问”。</p>
</div><p>Mixpanel’s CEO, Jen Taylor, did not respond to multiple emails from TechCrunch, which included over a dozen questions about the company’s data breach. We asked Taylor if the company had received any communication from the hackers, such as a demand for money, along with other specific questions about the breach, including whether Mixpanel employee accounts were protected with multi-factor authentication.</p>
<div class="lb-trans"><p>Mixpanel 的首席执行官 Jen Taylor 没有回复 TechCrunch 的多封电子邮件，这些邮件中包含了十多个关于公司数据泄露的问题。我们询问 Taylor 公司是否收到了黑客的任何通信，例如索要金钱的要求，以及关于泄露的其他具体问题，包括 Mixpanel 员工账户是否使用了多因素认证进行保护。</p>
</div><p>One of those affected customers is OpenAI, which published its own blog post two days later, confirming what Mixpanel had failed to explicitly say in its own post, that customer data had been taken from Mixpanel’s systems.</p>
<div class="lb-trans"><p>受影响的客户之一是 OpenAI，该公司在两天后发布了自己的博客文章，确认了 Mixpanel 在其文章中未明确说明的内容，即客户数据已从 Mixpanel 的系统中被盗取。</p>
</div><p>OpenAI said it was affected by the breach because it relies on software provided by Mixpanel to help understand how OpenAI users interact with certain parts of its website, such as its developer documentation.</p>
<div class="lb-trans"><p>OpenAI 表示，因依赖 Mixpanel 提供的软件来帮助理解 OpenAI 用户如何与其网站的某些部分（如开发者文档）互动，因此受到此次泄露的影响。</p>
</div><p>OpenAI users affected by the Mixpanel breach are likely to be developers whose own apps or websites rely on OpenAI’s products to work. OpenAI said its stolen data included the user’s provided name, email addresses, their approximate location (such as city and state) based on their IP address, and some identifiable device data, such as the operating system and browser version. Some of this information is the same kind of data that Mixpanel collects from people’s devices as they use apps and browse websites.</p>
<div class="lb-trans"><p>受 Mixpanel 泄露影响的 OpenAI 用户可能是开发者，他们的应用或网站依赖于 OpenAI 的产品来正常运行。OpenAI 表示，其被盗数据包括用户提供的姓名、电子邮件地址、基于 IP 地址的近似位置（如城市和州）以及一些可识别的设备数据，如操作系统和浏览器版本。这些信息与 Mixpanel 从用户使用应用和浏览网站时收集的数据类型相同。</p>
</div><p>For its part, OpenAI spokesperson Niko Felix told TechCrunch that the breached data taken from Mixpanel “did not contain identifiers such as Android advertising ID or Apple’s IDFA,” which may have made it easier to personally identify specific OpenAI users or combine their OpenAI activity with usage from other apps and websites.</p>
<div class="lb-trans"><p>OpenAI 发言人 Niko Felix 告诉 TechCrunch，来自 Mixpanel 的被泄露数据 “未包含诸如 Android 广告 ID 或 Apple 的 IDFA 等标识符”，这可能使得更容易识别特定的 OpenAI 用户或将他们的 OpenAI 活动与其他应用和网站的使用情况结合起来。</p>
</div><p>OpenAI said in its blog post that the incident did not affect ChatGPT users directly and terminated its use of Mixpanel as a result of the breach.</p>
<div class="lb-trans"><p>OpenAI 在其博客文章中表示，此事件并未直接影响 ChatGPT 用户，并因此终止了与 Mixpanel 的合作。</p>
</div><p>While details of the breach remain limited, this incident draws fresh scrutiny of the data analytics industry, which profits from collecting reams of information about how people use websites and apps.</p>
<div class="lb-trans"><p>尽管泄露的细节仍然有限，但这一事件引发了对数据分析行业的新一轮审视，该行业通过收集大量关于人们如何使用网站和应用的信息而获利。</p>
</div><h2>How Mixpanel tracks taps, clicks, and watches your screen</h2>
<div class="lb-trans"><h2>Mixpanel 如何跟踪点击、点击和监控您的屏幕</h2>
</div><p>Mixpanel is one of the largest web and mobile analytics companies that you might have never heard of, unless you work in the app development or marketing space. According to its website, Mixpanel has 8,000 corporate customers — one less now, following OpenAI’s early exit.</p>
<div class="lb-trans"><p>Mixpanel 是最大的网络和移动分析公司之一，除非您在应用开发或营销领域工作，否则您可能从未听说过。根据其网站，Mixpanel 拥有 8000 个企业客户——在 OpenAI 提前退出后，现在少了一个。</p>
</div><p>With each Mixpanel customer having potentially millions of users of their own, the number of ordinary people whose data was taken in the breach could be significant. The type of breached data is likely to vary by each Mixpanel customer, depending on how each customer configured their data collection and how much user data they collected.</p>
<div class="lb-trans"><p>由于每个 Mixpanel 客户可能拥有数百万用户，因此在此次泄露中被盗取的普通人数据数量可能相当可观。被泄露数据的类型可能因每个 Mixpanel 客户而异，具体取决于每个客户如何配置其数据收集以及收集了多少用户数据。</p>
</div><p>Companies like Mixpanel are part of a booming industry providing tracking technologies that allow companies to understand how their customers and users interact with their apps and websites. As such, analytics companies can collect and store vast amounts of information, including billions of data points, about regular consumers.</p>
<div class="lb-trans"><p>像 Mixpanel 这样的公司是一个蓬勃发展的行业的一部分，该行业提供跟踪技术，使公司能够了解其客户和用户如何与其应用和网站互动。因此，分析公司可以收集和存储大量信息，包括数十亿个数据点，关于普通消费者的。</p>
</div><p>For example, an app maker or website developer can embed a piece of code from an analytics company like Mixpanel inside their app or website to gain that visibility. For the app user or website visitor, it’s like having someone watch over your shoulder without your knowledge as you browse a website or use an app, while it constantly shares every click or tap, swipe, and link press with the company that develops the app or website.</p>
<div class="lb-trans"><p>例如，应用开发者或网站开发者可以在其应用或网站中嵌入来自像 Mixpanel 这样的分析公司的代码，以获得这种可见性。对于应用用户或网站访客来说，这就像在您浏览网站或使用应用时，有人悄悄地在您肩膀上观察，同时不断与开发该应用或网站的公司分享每一次点击、轻触、滑动和链接按压。</p>
</div><p>In Mixpanel’s case, it’s easy to see the types of data that Mixpanel collects from the apps and websites that its code is embedded in. Using open source tools like Burp Suite, TechCrunch analyzed the network traffic flowing in and out of several apps with Mixpanel code inside — such as Imgur, Lingvano, Neon, and Park Mobile. In our various tests, we saw varying degrees of information about our device and in-app activity uploaded to Mixpanel while using the apps.</p>
<div class="lb-trans"><p>在 Mixpanel 的案例中，很容易看到 Mixpanel 从其代码嵌入的应用和网站中收集的数据类型。使用像 Burp Suite 这样的开源工具，TechCrunch 分析了流入和流出几个嵌入了 Mixpanel 代码的应用的网络流量——例如 Imgur、Lingvano、Neon 和 Park Mobile。在我们的各种测试中，我们看到在使用这些应用时，上传到 Mixpanel 的设备和应用内活动信息的程度各不相同。</p>
</div><p>This data can include the person’s activity, such as opening the app, tapping a link, swiping a page, or signing in with their username and password, for example. This event logging data is then attached to information about the user and their device, including the device type (such as iPhone or Android), the screen width and height, if the user is on the phone network or Wi-Fi, the user’s cell network carrier, the logged-in user’s unique identifier for that service (which can be tied to the app user), and the precise timestamp for that event.</p>
<div class="lb-trans"><p>这些数据可以包括个人的活动，例如打开应用、点击链接、滑动页面或使用用户名和密码登录等。例如，这些事件日志数据随后会附加到有关用户及其设备的信息上，包括设备类型（如 iPhone 或 Android）、屏幕宽度和高度、用户是否在手机网络或 Wi-Fi 上、用户的移动网络运营商、已登录用户在该服务中的唯一标识符（可以与应用用户关联）以及该事件的精确时间戳。</p>
</div><p>The collected data can include more or less, depending on how the customer configures their data collection, and sometimes collects information that should be off-limits. Mixpanel admitted in 2018 that its analytics code inadvertently collected users’ passwords.</p>
<div class="lb-trans"><p>收集的数据可以根据客户配置其数据收集的方式而有所不同，有时还会收集应当禁止的信息。Mixpanel 在 2018 年承认，其分析代码无意中收集了用户的密码。</p>
</div><p>Data collected by analytics companies is meant to be pseudonymized — essentially scrambled in a way that it doesn’t include identifiable details, such as a person’s name. Instead, the collected information is attributed to a unique but seemingly random identifier that’s used in place of a person’s name; an ostensibly more privacy-preserving way of storing the data. But pseudonymized data can be reversed and used to identify people’s real-world identities. And, data collected about a person’s device can be used to uniquely identify that device, known as “fingerprinting,” which can also be used to track that user’s activity across different apps and across the internet.</p>
<div class="lb-trans"><p>分析公司收集的数据旨在进行假名化——本质上是以一种不包含可识别细节（如个人姓名）的方式进行混淆。相反，收集的信息被归因于一个独特但看似随机的标识符，用于替代个人姓名；这是一种表面上更能保护隐私的数据存储方式。但假名化数据可以被逆向处理，从而识别出人们的真实身份。此外，关于个人设备收集的数据可以用于唯一识别该设备，这被称为 “指纹识别”，也可以用于跟踪该用户在不同应用程序和互联网中的活动。</p>
</div><p>By tracking what you do on your device across various apps, analytics companies make it easier for their customers to build up profiles of users and their activity.</p>
<div class="lb-trans"><p>通过跟踪您在各种应用程序上设备上的操作，分析公司使其客户更容易建立用户及其活动的档案。</p>
</div><p>Mixpanel also allows its customers to collect “session replays,” which visually reconstruct how the company’s users interact with an app or website so that the developer can identify bugs and problems. Session replays are meant to exclude personally identifiable or sensitive information, such as passwords and credit card numbers, from any collected user session, but this process isn’t perfect, either.</p>
<div class="lb-trans"><p>Mixpanel 还允许其客户收集 “会话重放”，这可以直观地重建公司用户与应用程序或网站的互动，以便开发人员识别错误和问题。会话重放旨在排除任何收集的用户会话中的个人可识别或敏感信息，如密码和信用卡号码，但这个过程也并不完美。</p>
</div><p>By Mixpanel’s own admission, session replays can sometimes include sensitive information that should not have been logged, but are collected inadvertently. Apple cracked down on apps that use screen recording code after TechCrunch exposed the practice in 2019.</p>
<div class="lb-trans"><p>根据 Mixpanel 自己的承认，会话重放有时可能包含不应被记录的敏感信息，但这些信息是无意中收集的。在 TechCrunch 于 2019 年曝光这一做法后，苹果对使用屏幕录制代码的应用程序进行了打击。</p>
</div><p>To say that Mixpanel has questions to answer about its breach is perhaps an understatement. Without knowing the specific types of data involved, it’s not clear how big a breach this is or how many people might be affected. It may be that Mixpanel doesn’t yet know.</p>
<div class="lb-trans"><p>说 Mixpanel 在其泄露事件中有问题需要回答，或许是轻描淡写。在不知道涉及的具体数据类型的情况下，不清楚这次泄露的规模有多大，可能会影响多少人。Mixpanel 可能尚不清楚。</p>
</div><p>What is clear is that companies like Mixpanel store huge banks of information about people and how they use their apps, and are clearly becoming a focus for malicious hackers.</p>
<div class="lb-trans"><p>显而易见的是，像 Mixpanel 这样的公司存储着大量关于人们及其使用应用程序的信息，并且显然成为恶意黑客的关注焦点。</p>
</div><p><em>Do you know more about the Mixpanel data breach? Do you work at Mixpanel or a company affected by the breach? We would love to hear from you. To securely contact this reporter, you can reach out using Signal via the username: zackwhittaker.1337</em></p>
<div class="lb-trans"><p><em>您对 Mixpanel 数据泄露了解更多吗？您在 Mixpanel 或受泄露影响的公司工作吗？我们希望听到您的声音。要安全地联系这位记者，您可以通过用户名：zackwhittaker.1337 使用 Signal 进行联系。</em></p>
</div>

分析巨头 Mixpanel 发生的数据泄露事件留下了许多悬而未决的问题