Mixpanel Güvenlik İhlali Olayı

• 8 Kasım 2025'te Mixpanel, bazı müşterileri etkileyen bir smishing saldırısını tespit etti ve derhal müdahale prosedürlerini devreye aldı
• Şirket, yetkisiz erişimin engellenmesi, etkilenen hesapların korunması ve harici siber güvenlik ortaklarıyla iş birliği dahil kapsamlı önlemler uyguladı
• Müdahale önlemleri arasında oturumların sonlandırılması, kimlik bilgilerinin değiştirilmesi, kötü amaçlı IP'lerin engellenmesi ve tüm çalışan parolalarının sıfırlanması yer aldı
• Mixpanel, etkilenen müşterileri doğrudan bilgilendirdi; iletişim almayan kullanıcıların etkilenmediğini belirtti
• Şirket, bu olayın ardından güvenlik ve şeffaflığın güçlendirilmesini en yüksek öncelik olarak sürdürdüğünü vurguladı

---

Son güvenlik olayı özeti

• 8 Kasım 2025'te Mixpanel, bir smishing campaign tespit etti ve derhal olay müdahale sürecini başlattı
  • Yetkisiz erişimi engellemek ve etkilenen kullanıcı hesaplarını korumak için önlemler uygulandı
  • Olayın giderilmesi ve müdahalesi için harici siber güvenlik ortakları sürece dahil edildi
• Mixpanel, etkilenen tüm müşterilerle doğrudan iletişime geçtiğini ve iletişim almayan müşterilerin etkilenmediğini belirtti
• Şirket, güvenliği temel bir değer olarak gördüğünü ve müşteri desteği ile şeffaf iletişimi sürdüreceğini açıkladı

Müdahale önlemlerinin ayrıntıları

• Etkilenen hesapların korunması ve tüm aktif oturumlar ile girişlerin iptal edilmesi
• İhlale uğrayan kimlik bilgilerinin değiştirilmesi ve kötü amaçlı IP adreslerinin engellenmesi
• Tehdit tespitini güçlendirmek için IOC (Indicators of Compromise) verilerinin SIEM platformuna eklenmesi
• Tüm çalışan parolalarının tamamen sıfırlanması
• Olayın nedenini analiz etmek ve engelleme önlemleri konusunda danışmanlık vermek için harici bir adli bilişim şirketinin görevlendirilmesi
• Kimlik doğrulama, oturum ve veri dışa aktarma logları üzerinde adli inceleme yürütülmesi
• Benzer faaliyetleri gelecekte tespit etmek ve engellemek için ek güvenlik kontrollerinin devreye alınması
• Kolluk kuvvetleri ve harici güvenlik danışmanlarıyla iş birliği yapılması

Müşteri bilgilendirmesi

• Mixpanel'den iletişim alan müşterilere hesap koruma önlemleri ve sonraki adımlar hakkında bilgi verildi
• İletişim almayan müşterilerin ek bir işlem yapmasına gerek yoktur; hesapları etkilenmemiştir
• Sorular için [e-mail] adresi üzerinden iletişime geçilebilir

Şirketin açıklaması

• Mixpanel, bu olayın ardından güvenliğin güçlendirilmesi ve şeffaf iletişim konusundaki taahhüdünü yineledi
• Müşteri verilerinin korunmasının ürün ve hizmetlerinin temel ilkesi olarak sürdürüleceğini belirtti
• Gelecekte de güvenlik olayı müdahale sistemini geliştirmeyi ve harici iş birliklerini artırmayı planlıyor

[GN⁺]

Hacker News görüşleri

• Bu yazının ifade ediliş biçimini gerçekten hiç beğenmedim
  Hangi sisteme erişildiğine, hangi bilgilerin açığa çıktığına ve ne kadar “aktif” şekilde yanıt verildiğine dair somut sayılar ya da zaman çizelgesi hiç yok
  Haberdeki alıntıya bakılırsa “Mixpanel bir smishing kampanyasını tespit etti” deniyor ama kimin hedef alındığı ya da ölçeğinin ne olduğu belirsiz
  “Yetkisiz erişim engellendi ve güvenlik önlemleri alındı” deniyor, yani ortada açıkça bir ihlal var ama bunun hangi hesap ya da sistemle ilgili olduğu söylenmiyor
  “Tüm çalışanların parolalarının sıfırlanması”, içeride kimlik bilgisi sızıntısı ihtimali öngörüldüğü anlamına geliyor gibi görünüyor

  • “Aile kazası”na “yakın tarihli aile olayı” demek gibi, bu yazının muğlak ve savunmacı tonu rahatsız edici
    “Şeffaflık adına paylaşıyoruz” cümlesi de sanki “iyi niyet göstergesi olarak iade yapıyoruz” türü insanî olmayan bir özür metni gibi geliyor
  • Aynı olayla ilgili OpenAI duyurusu çok daha net ve güven vericiydi
  • OpenAI fiilen önce açıklama yaptığı için, Mixpanel’in de mecburen ardından açıklama yapmak zorunda kalıp kalmadığı sorusu akla geliyor
  • Duyurunun Şükran Günü'nde yapılmış olması da kasıtlı bir zamanlama gibi görünüyor
  • Ben de bir gün önce OpenAI tarafından çok daha bilgi dolu bir bildirim aldım

• Mixpanel’in yazısı, OpenAI duyurusuna kıyasla çok daha eksik ve şeffaflıktan uzak hissettiriyor
  Mixpanel’in elinde daha fazla bilgi olması gerekirken, kamuya çok daha azını açıklıyor
  Bu da şirketin güvenilirliğine büyük zarar veriyor

  • Sonuçta OpenAI, Mixpanel’i fiilen tedarikçi listesinden çıkardı
    “Güvenlik ve gizlilik standartlarımızı karşılamadığı için Mixpanel kullanımını durdurduk” ifadesi çok güçlü bir mesaj
  • Cointracker’ın da neredeyse aynı anda benzer bir e-posta gönderdiği söyleniyor. Muhtemelen ortak bir şablon kullanıldı

• Mixpanel olayı 8 Kasım’da fark etmiş ama bunu ancak Şükran Günü arifesinde açıklamış olması hayal kırıklığı yaratıyor

  • Bu durum GDPR’nin 72 saatlik bildirim kuralını ihlal ediyor gibi görünüyor

• Mixpanel’in duyurusu kafa karıştırıcı
  Hesabımı zaten kapatmış olmama rağmen “güvenlik olayıyla ilgili” bir e-posta aldım
  Kapatılmış hesabın etkilenip etkilenmediğini anlamak mümkün değil

  • Hesabı kapatmak, verilerin hemen silindiği anlamına gelmez
    E-posta aldıysanız, verilerin hâlâ tutuluyor olma ihtimali yüksek
  • E-posta almak, mutlaka etkilendiğiniz anlamına da gelmez
    Mixpanel “etkilenen müşterilerle ayrı ayrı iletişime geçtik” dediğine göre, ayrı bir bildirim almadıysanız güvende olduğunuz şeklinde yorumlanmalı
  • Avrupa’da yaşıyorsanız, hesap kapatma sonrası verilerin silinmemesi nedeniyle GDPR kapsamındaki ‘unutulma hakkı’ ihlali gerekçesiyle şikâyette bulunabilirsiniz

• OpenAI’nin Mixpanel kullandığı için hissenin yükselip yükselmeyeceği üzerine şakalar yapılacak kadar konuşuluyor

  • Ama OpenAI FAQ zaten Mixpanel’i kaldırdığını açıkça belirtiyor
  • Kullanıcılara gönderilen e-postada da OpenAI’nin artık Mixpanel kullanmadığı net şekilde söyleniyor

• Mixpanel’in yazısı, kriz iletişiminde kötü örnek olarak ders kitaplarına girebilir
  OpenAI’nin duyurusu, olayı Mixpanel’den daha iyi özetliyor
  “İş ortağımız güvenlik standartlarımızı karşılamadığı için Mixpanel kullanımını sonlandırdık” cümlesi, tedarikçiye yönelik açık bir güvensizlik ilanı

• “Smishing” terimini ilk kez duydum
  Bu, SMS üzerinden yapılan bir phishing saldırısı; kısa mesaj yoluyla kişisel bilgileri ele geçirme yöntemi

  • Gerçek bir örnek olarak, “Ben OpenAI’den Josh, 2FA’yı kapatabilir misin? Yurt dışındayım, doğrulama zor oluyor” tarzı sosyal mühendislik mesajları verilebilir

• Bu olay, 2025’in güvenlik dersi olarak “tedarikçi saldırı yüzeyinin bir parçasıdır” gerçeğini gösteriyor
  Güvendiğiniz bir satıcı ihlal edildiğinde, onların müşteri verileri de zincirleme biçimde açığa çıkabiliyor
  Özellikle hassas işlerde, üçüncü taraflarla paylaşılan veriyi en aza indirmek gerekiyor
  Eski “güven ama doğrula” modeli yerine artık “doğrulamıyorsan paylaşma” yaklaşımına ihtiyaç var

• Haber başlığında “breach” deniyor ama orijinal metin bu kelimeyi kullanmıyor

  • “Security incident”, hukuk danışmanlığı sonrası seçilmiş örtülü bir ifade sadece; “yetkisiz erişimi engelledik” cümlesi zaten bir ihlal yaşandığını gösteriyor
  • Ayrıca OpenAI duyurusuna ve CoinTracker duyurusuna bakılırsa, kullanıcı adı, e-posta ve konum bilgilerinin açığa çıktığı açıkça belirtilmiş
  • Mixpanel’in yazısı kaçamak ifadelerle dolu ama özünde bu açık bir ihlal

• Bu kadar önemli bilgilerin resmî tatil öncesinde açıklanmış olması, zamanlama açısından fazlasıyla hesaplı bir tercih gibi görünüyor