<p>在美國感恩節假期前幾個小時，分析服務提供商 Mixpanel 宣佈了一起網絡安全事件，這可能為如何 <strong>不</strong> 宣佈數據泄露設定了新的標準。</p>
<p>回顧一下：上週三，Mixpanel 首席執行官 Jen Taylor 在一篇簡短的博客文章中宣佈，該公司在 11 月 8 日檢測到一起未指明的安全事件，影響了一些客户，但並未説明他們受到的影響程度，也沒有透露受影響的客户數量，只表示 Mixpanel 採取了一系列安全措施以 “消除未經授權的訪問”。</p>
<p>Mixpanel 的首席執行官 Jen Taylor 沒有回覆 TechCrunch 的多封電子郵件，這些郵件中包含了十多個關於公司數據泄露的問題。我們詢問 Taylor 公司是否收到了黑客的任何通信，例如索要金錢的要求，以及關於泄露的其他具體問題，包括 Mixpanel 員工賬户是否使用了多因素認證進行保護。</p>
<p>受影響的客户之一是 OpenAI，該公司在兩天後發佈了自己的博客文章，確認了 Mixpanel 在其文章中未明確説明的內容，即客户數據已從 Mixpanel 的系統中被盜取。</p>
<p>OpenAI 表示，因依賴 Mixpanel 提供的軟件來幫助理解 OpenAI 用户如何與其網站的某些部分（如開發者文檔）互動，因此受到此次泄露的影響。</p>
<p>受 Mixpanel 泄露影響的 OpenAI 用户可能是開發者，他們的應用或網站依賴於 OpenAI 的產品來正常運行。OpenAI 表示，其被盜數據包括用户提供的姓名、電子郵件地址、基於 IP 地址的近似位置（如城市和州）以及一些可識別的設備數據，如操作系統和瀏覽器版本。這些信息與 Mixpanel 從用户使用應用和瀏覽網站時收集的數據類型相同。</p>
<p>OpenAI 發言人 Niko Felix 告訴 TechCrunch，來自 Mixpanel 的被泄露數據 “未包含諸如 Android 廣告 ID 或 Apple 的 IDFA 等標識符”，這可能使得更容易識別特定的 OpenAI 用户或將他們的 OpenAI 活動與其他應用和網站的使用情況結合起來。</p>
<p>OpenAI 在其博客文章中表示，此事件並未直接影響 ChatGPT 用户，並因此終止了與 Mixpanel 的合作。</p>
<p>儘管泄露的細節仍然有限，但這一事件引發了對數據分析行業的新一輪審視，該行業通過收集大量關於人們如何使用網站和應用的信息而獲利。</p>
<h2>Mixpanel 如何跟蹤點擊、點擊和監控您的屏幕</h2>
<p>Mixpanel 是最大的網絡和移動分析公司之一，除非您在應用開發或營銷領域工作，否則您可能從未聽説過。根據其網站，Mixpanel 擁有 8000 個企業客户——在 OpenAI 提前退出後，現在少了一個。</p>
<p>由於每個 Mixpanel 客户可能擁有數百萬用户，因此在此次泄露中被盜取的普通人數據數量可能相當可觀。被泄露數據的類型可能因每個 Mixpanel 客户而異，具體取決於每個客户如何配置其數據收集以及收集了多少用户數據。</p>
<p>像 Mixpanel 這樣的公司是一個蓬勃發展的行業的一部分，該行業提供跟蹤技術，使公司能夠了解其客户和用户如何與其應用和網站互動。因此，分析公司可以收集和存儲大量信息，包括數十億個數據點，關於普通消費者的。</p>
<p>例如，應用開發者或網站開發者可以在其應用或網站中嵌入來自像 Mixpanel 這樣的分析公司的代碼，以獲得這種可見性。對於應用用户或網站訪客來説，這就像在您瀏覽網站或使用應用時，有人悄悄地在您肩膀上觀察，同時不斷與開發該應用或網站的公司分享每一次點擊、輕觸、滑動和鏈接按壓。</p>
<p>在 Mixpanel 的案例中，很容易看到 Mixpanel 從其代碼嵌入的應用和網站中收集的數據類型。使用像 Burp Suite 這樣的開源工具，TechCrunch 分析了流入和流出幾個嵌入了 Mixpanel 代碼的應用的網絡流量——例如 Imgur、Lingvano、Neon 和 Park Mobile。在我們的各種測試中，我們看到在使用這些應用時，上傳到 Mixpanel 的設備和應用內活動信息的程度各不相同。</p>
<p>這些數據可以包括個人的活動，例如打開應用、點擊鏈接、滑動頁面或使用用户名和密碼登錄等。例如，這些事件日誌數據隨後會附加到有關用户及其設備的信息上，包括設備類型（如 iPhone 或 Android）、屏幕寬度和高度、用户是否在手機網絡或 Wi-Fi 上、用户的移動網絡運營商、已登錄用户在該服務中的唯一標識符（可以與應用用户關聯）以及該事件的精確時間戳。</p>
<p>收集的數據可以根據客户配置其數據收集的方式而有所不同，有時還會收集應當禁止的信息。Mixpanel 在 2018 年承認，其分析代碼無意中收集了用户的密碼。</p>
<p>分析公司收集的數據旨在進行假名化——本質上是以一種不包含可識別細節（如個人姓名）的方式進行混淆。相反，收集的信息被歸因於一個獨特但看似隨機的標識符，用於替代個人姓名；這是一種表面上更能保護隱私的數據存儲方式。但假名化數據可以被逆向處理，從而識別出人們的真實身份。此外，關於個人設備收集的數據可以用於唯一識別該設備，這被稱為 “指紋識別”，也可以用於跟蹤該用户在不同應用程序和互聯網中的活動。</p>
<p>通過跟蹤您在各種應用程序上設備上的操作，分析公司使其客户更容易建立用户及其活動的檔案。</p>
<p>Mixpanel 還允許其客户收集 “會話重放”，這可以直觀地重建公司用户與應用程序或網站的互動，以便開發人員識別錯誤和問題。會話重放旨在排除任何收集的用户會話中的個人可識別或敏感信息，如密碼和信用卡號碼，但這個過程也並不完美。</p>
<p>根據 Mixpanel 自己的承認，會話重放有時可能包含不應被記錄的敏感信息，但這些信息是無意中收集的。在 TechCrunch 於 2019 年曝光這一做法後，蘋果對使用屏幕錄製代碼的應用程序進行了打擊。</p>
<p>説 Mixpanel 在其泄露事件中有問題需要回答，或許是輕描淡寫。在不知道涉及的具體數據類型的情況下，不清楚這次泄露的規模有多大，可能會影響多少人。Mixpanel 可能尚不清楚。</p>
<p>顯而易見的是，像 Mixpanel 這樣的公司存儲着大量關於人們及其使用應用程序的信息，並且顯然成為惡意黑客的關注焦點。</p>
<p><em>您對 Mixpanel 數據泄露了解更多嗎？您在 Mixpanel 或受泄露影響的公司工作嗎？我們希望聽到您的聲音。要安全地聯繫這位記者，您可以通過用户名：zackwhittaker.1337 使用 Signal 進行聯繫。</em></p>

OpenAI

<p>Mixpanel，一家主要的分析服務提供商，經歷了一次數據泄露事件，影響了包括 OpenAI 在內的客户。該泄露事件在感恩節前夕宣佈，但缺乏關於範圍和影響的詳細信息。OpenAI 確認其數據已被泄露，因此終止了與 Mixpanel 的服務。此事件突顯了數據分析中的脆弱性，引發了人們對像 Mixpanel 這樣的公司收集的大量數據的擔憂</p>

<p>A cybersecurity incident at analytics provider Mixpanel announced just hours before the U.S. Thanksgiving holiday weekend could set a new standard for how <em>not</em> to announce a data breach.</p>
<div class="lb-trans"><p>在美國感恩節假期前幾個小時，分析服務提供商 Mixpanel 宣佈了一起網絡安全事件，這可能為如何 <strong>不</strong> 宣佈數據泄露設定了新的標準。</p>
</div><p>To recap: In a bare bones blog post last Wednesday, Mixpanel chief executive Jen Taylor announced that the company had detected an unspecified security incident on November 8 that affected some of its customers, but didn’t say how they were affected, nor how many, only that Mixpanel had taken a range of security actions to “eradicate unauthorized access.”</p>
<div class="lb-trans"><p>回顧一下：上週三，Mixpanel 首席執行官 Jen Taylor 在一篇簡短的博客文章中宣佈，該公司在 11 月 8 日檢測到一起未指明的安全事件，影響了一些客户，但並未説明他們受到的影響程度，也沒有透露受影響的客户數量，只表示 Mixpanel 採取了一系列安全措施以 “消除未經授權的訪問”。</p>
</div><p>Mixpanel’s CEO, Jen Taylor, did not respond to multiple emails from TechCrunch, which included over a dozen questions about the company’s data breach. We asked Taylor if the company had received any communication from the hackers, such as a demand for money, along with other specific questions about the breach, including whether Mixpanel employee accounts were protected with multi-factor authentication.</p>
<div class="lb-trans"><p>Mixpanel 的首席執行官 Jen Taylor 沒有回覆 TechCrunch 的多封電子郵件，這些郵件中包含了十多個關於公司數據泄露的問題。我們詢問 Taylor 公司是否收到了黑客的任何通信，例如索要金錢的要求，以及關於泄露的其他具體問題，包括 Mixpanel 員工賬户是否使用了多因素認證進行保護。</p>
</div><p>One of those affected customers is OpenAI, which published its own blog post two days later, confirming what Mixpanel had failed to explicitly say in its own post, that customer data had been taken from Mixpanel’s systems.</p>
<div class="lb-trans"><p>受影響的客户之一是 OpenAI，該公司在兩天後發佈了自己的博客文章，確認了 Mixpanel 在其文章中未明確説明的內容，即客户數據已從 Mixpanel 的系統中被盜取。</p>
</div><p>OpenAI said it was affected by the breach because it relies on software provided by Mixpanel to help understand how OpenAI users interact with certain parts of its website, such as its developer documentation.</p>
<div class="lb-trans"><p>OpenAI 表示，因依賴 Mixpanel 提供的軟件來幫助理解 OpenAI 用户如何與其網站的某些部分（如開發者文檔）互動，因此受到此次泄露的影響。</p>
</div><p>OpenAI users affected by the Mixpanel breach are likely to be developers whose own apps or websites rely on OpenAI’s products to work. OpenAI said its stolen data included the user’s provided name, email addresses, their approximate location (such as city and state) based on their IP address, and some identifiable device data, such as the operating system and browser version. Some of this information is the same kind of data that Mixpanel collects from people’s devices as they use apps and browse websites.</p>
<div class="lb-trans"><p>受 Mixpanel 泄露影響的 OpenAI 用户可能是開發者，他們的應用或網站依賴於 OpenAI 的產品來正常運行。OpenAI 表示，其被盜數據包括用户提供的姓名、電子郵件地址、基於 IP 地址的近似位置（如城市和州）以及一些可識別的設備數據，如操作系統和瀏覽器版本。這些信息與 Mixpanel 從用户使用應用和瀏覽網站時收集的數據類型相同。</p>
</div><p>For its part, OpenAI spokesperson Niko Felix told TechCrunch that the breached data taken from Mixpanel “did not contain identifiers such as Android advertising ID or Apple’s IDFA,” which may have made it easier to personally identify specific OpenAI users or combine their OpenAI activity with usage from other apps and websites.</p>
<div class="lb-trans"><p>OpenAI 發言人 Niko Felix 告訴 TechCrunch，來自 Mixpanel 的被泄露數據 “未包含諸如 Android 廣告 ID 或 Apple 的 IDFA 等標識符”，這可能使得更容易識別特定的 OpenAI 用户或將他們的 OpenAI 活動與其他應用和網站的使用情況結合起來。</p>
</div><p>OpenAI said in its blog post that the incident did not affect ChatGPT users directly and terminated its use of Mixpanel as a result of the breach.</p>
<div class="lb-trans"><p>OpenAI 在其博客文章中表示，此事件並未直接影響 ChatGPT 用户，並因此終止了與 Mixpanel 的合作。</p>
</div><p>While details of the breach remain limited, this incident draws fresh scrutiny of the data analytics industry, which profits from collecting reams of information about how people use websites and apps.</p>
<div class="lb-trans"><p>儘管泄露的細節仍然有限，但這一事件引發了對數據分析行業的新一輪審視，該行業通過收集大量關於人們如何使用網站和應用的信息而獲利。</p>
</div><h2>How Mixpanel tracks taps, clicks, and watches your screen</h2>
<div class="lb-trans"><h2>Mixpanel 如何跟蹤點擊、點擊和監控您的屏幕</h2>
</div><p>Mixpanel is one of the largest web and mobile analytics companies that you might have never heard of, unless you work in the app development or marketing space. According to its website, Mixpanel has 8,000 corporate customers — one less now, following OpenAI’s early exit.</p>
<div class="lb-trans"><p>Mixpanel 是最大的網絡和移動分析公司之一，除非您在應用開發或營銷領域工作，否則您可能從未聽説過。根據其網站，Mixpanel 擁有 8000 個企業客户——在 OpenAI 提前退出後，現在少了一個。</p>
</div><p>With each Mixpanel customer having potentially millions of users of their own, the number of ordinary people whose data was taken in the breach could be significant. The type of breached data is likely to vary by each Mixpanel customer, depending on how each customer configured their data collection and how much user data they collected.</p>
<div class="lb-trans"><p>由於每個 Mixpanel 客户可能擁有數百萬用户，因此在此次泄露中被盜取的普通人數據數量可能相當可觀。被泄露數據的類型可能因每個 Mixpanel 客户而異，具體取決於每個客户如何配置其數據收集以及收集了多少用户數據。</p>
</div><p>Companies like Mixpanel are part of a booming industry providing tracking technologies that allow companies to understand how their customers and users interact with their apps and websites. As such, analytics companies can collect and store vast amounts of information, including billions of data points, about regular consumers.</p>
<div class="lb-trans"><p>像 Mixpanel 這樣的公司是一個蓬勃發展的行業的一部分，該行業提供跟蹤技術，使公司能夠了解其客户和用户如何與其應用和網站互動。因此，分析公司可以收集和存儲大量信息，包括數十億個數據點，關於普通消費者的。</p>
</div><p>For example, an app maker or website developer can embed a piece of code from an analytics company like Mixpanel inside their app or website to gain that visibility. For the app user or website visitor, it’s like having someone watch over your shoulder without your knowledge as you browse a website or use an app, while it constantly shares every click or tap, swipe, and link press with the company that develops the app or website.</p>
<div class="lb-trans"><p>例如，應用開發者或網站開發者可以在其應用或網站中嵌入來自像 Mixpanel 這樣的分析公司的代碼，以獲得這種可見性。對於應用用户或網站訪客來説，這就像在您瀏覽網站或使用應用時，有人悄悄地在您肩膀上觀察，同時不斷與開發該應用或網站的公司分享每一次點擊、輕觸、滑動和鏈接按壓。</p>
</div><p>In Mixpanel’s case, it’s easy to see the types of data that Mixpanel collects from the apps and websites that its code is embedded in. Using open source tools like Burp Suite, TechCrunch analyzed the network traffic flowing in and out of several apps with Mixpanel code inside — such as Imgur, Lingvano, Neon, and Park Mobile. In our various tests, we saw varying degrees of information about our device and in-app activity uploaded to Mixpanel while using the apps.</p>
<div class="lb-trans"><p>在 Mixpanel 的案例中，很容易看到 Mixpanel 從其代碼嵌入的應用和網站中收集的數據類型。使用像 Burp Suite 這樣的開源工具，TechCrunch 分析了流入和流出幾個嵌入了 Mixpanel 代碼的應用的網絡流量——例如 Imgur、Lingvano、Neon 和 Park Mobile。在我們的各種測試中，我們看到在使用這些應用時，上傳到 Mixpanel 的設備和應用內活動信息的程度各不相同。</p>
</div><p>This data can include the person’s activity, such as opening the app, tapping a link, swiping a page, or signing in with their username and password, for example. This event logging data is then attached to information about the user and their device, including the device type (such as iPhone or Android), the screen width and height, if the user is on the phone network or Wi-Fi, the user’s cell network carrier, the logged-in user’s unique identifier for that service (which can be tied to the app user), and the precise timestamp for that event.</p>
<div class="lb-trans"><p>這些數據可以包括個人的活動，例如打開應用、點擊鏈接、滑動頁面或使用用户名和密碼登錄等。例如，這些事件日誌數據隨後會附加到有關用户及其設備的信息上，包括設備類型（如 iPhone 或 Android）、屏幕寬度和高度、用户是否在手機網絡或 Wi-Fi 上、用户的移動網絡運營商、已登錄用户在該服務中的唯一標識符（可以與應用用户關聯）以及該事件的精確時間戳。</p>
</div><p>The collected data can include more or less, depending on how the customer configures their data collection, and sometimes collects information that should be off-limits. Mixpanel admitted in 2018 that its analytics code inadvertently collected users’ passwords.</p>
<div class="lb-trans"><p>收集的數據可以根據客户配置其數據收集的方式而有所不同，有時還會收集應當禁止的信息。Mixpanel 在 2018 年承認，其分析代碼無意中收集了用户的密碼。</p>
</div><p>Data collected by analytics companies is meant to be pseudonymized — essentially scrambled in a way that it doesn’t include identifiable details, such as a person’s name. Instead, the collected information is attributed to a unique but seemingly random identifier that’s used in place of a person’s name; an ostensibly more privacy-preserving way of storing the data. But pseudonymized data can be reversed and used to identify people’s real-world identities. And, data collected about a person’s device can be used to uniquely identify that device, known as “fingerprinting,” which can also be used to track that user’s activity across different apps and across the internet.</p>
<div class="lb-trans"><p>分析公司收集的數據旨在進行假名化——本質上是以一種不包含可識別細節（如個人姓名）的方式進行混淆。相反，收集的信息被歸因於一個獨特但看似隨機的標識符，用於替代個人姓名；這是一種表面上更能保護隱私的數據存儲方式。但假名化數據可以被逆向處理，從而識別出人們的真實身份。此外，關於個人設備收集的數據可以用於唯一識別該設備，這被稱為 “指紋識別”，也可以用於跟蹤該用户在不同應用程序和互聯網中的活動。</p>
</div><p>By tracking what you do on your device across various apps, analytics companies make it easier for their customers to build up profiles of users and their activity.</p>
<div class="lb-trans"><p>通過跟蹤您在各種應用程序上設備上的操作，分析公司使其客户更容易建立用户及其活動的檔案。</p>
</div><p>Mixpanel also allows its customers to collect “session replays,” which visually reconstruct how the company’s users interact with an app or website so that the developer can identify bugs and problems. Session replays are meant to exclude personally identifiable or sensitive information, such as passwords and credit card numbers, from any collected user session, but this process isn’t perfect, either.</p>
<div class="lb-trans"><p>Mixpanel 還允許其客户收集 “會話重放”，這可以直觀地重建公司用户與應用程序或網站的互動，以便開發人員識別錯誤和問題。會話重放旨在排除任何收集的用户會話中的個人可識別或敏感信息，如密碼和信用卡號碼，但這個過程也並不完美。</p>
</div><p>By Mixpanel’s own admission, session replays can sometimes include sensitive information that should not have been logged, but are collected inadvertently. Apple cracked down on apps that use screen recording code after TechCrunch exposed the practice in 2019.</p>
<div class="lb-trans"><p>根據 Mixpanel 自己的承認，會話重放有時可能包含不應被記錄的敏感信息，但這些信息是無意中收集的。在 TechCrunch 於 2019 年曝光這一做法後，蘋果對使用屏幕錄製代碼的應用程序進行了打擊。</p>
</div><p>To say that Mixpanel has questions to answer about its breach is perhaps an understatement. Without knowing the specific types of data involved, it’s not clear how big a breach this is or how many people might be affected. It may be that Mixpanel doesn’t yet know.</p>
<div class="lb-trans"><p>説 Mixpanel 在其泄露事件中有問題需要回答，或許是輕描淡寫。在不知道涉及的具體數據類型的情況下，不清楚這次泄露的規模有多大，可能會影響多少人。Mixpanel 可能尚不清楚。</p>
</div><p>What is clear is that companies like Mixpanel store huge banks of information about people and how they use their apps, and are clearly becoming a focus for malicious hackers.</p>
<div class="lb-trans"><p>顯而易見的是，像 Mixpanel 這樣的公司存儲着大量關於人們及其使用應用程序的信息，並且顯然成為惡意黑客的關注焦點。</p>
</div><p><em>Do you know more about the Mixpanel data breach? Do you work at Mixpanel or a company affected by the breach? We would love to hear from you. To securely contact this reporter, you can reach out using Signal via the username: zackwhittaker.1337</em></p>
<div class="lb-trans"><p><em>您對 Mixpanel 數據泄露了解更多嗎？您在 Mixpanel 或受泄露影響的公司工作嗎？我們希望聽到您的聲音。要安全地聯繫這位記者，您可以通過用户名：zackwhittaker.1337 使用 Signal 進行聯繫。</em></p>
</div>

分析巨頭 Mixpanel 發生的數據泄露事件留下了許多懸而未決的問題