Incidente de seguridad de Mixpanel

• El 8 de noviembre de 2025, Mixpanel detectó un ataque de smishing que afectó a algunos clientes y activó de inmediato sus procedimientos de respuesta
• La empresa implementó medidas integrales como bloqueo de accesos no autorizados, protección de cuentas afectadas y colaboración con socios externos de ciberseguridad
• Las acciones de respuesta incluyeron cierre de sesiones, reemplazo de credenciales, bloqueo de IP maliciosas y restablecimiento total de contraseñas del personal
• Mixpanel notificó directamente a los clientes afectados y señaló que los usuarios que no recibieron contacto no resultaron impactados
• A raíz de este incidente, la empresa mantiene como máxima prioridad el refuerzo de la seguridad y la transparencia

---

Resumen del incidente de seguridad reciente

• El 8 de noviembre de 2025, Mixpanel detectó una campaña de smishing y activó de inmediato su proceso de respuesta a incidentes
  • Se implementaron medidas para bloquear accesos no autorizados y proteger las cuentas de usuario afectadas
  • Se incorporó a socios externos de ciberseguridad para apoyar la recuperación y la respuesta al incidente
• Mixpanel indicó que se comunicó directamente con todos los clientes afectados, y aclaró que los clientes que no recibieron contacto no sufrieron impacto
• La empresa afirmó que la seguridad es un valor central y que continuará brindando apoyo a los clientes y una comunicación transparente

Detalle de las medidas de respuesta

• Protección de las cuentas afectadas y revocación de todas las sesiones activas e inicios de sesión
• Reemplazo de credenciales comprometidas y bloqueo de direcciones IP maliciosas
• Registro de IOC (Indicators of Compromise) en la plataforma SIEM para reforzar la detección de amenazas
• Restablecimiento total de contraseñas para todo el personal
• Contratación de una firma forense externa para analizar la causa del incidente y asesorar sobre medidas de contención
• Revisión forense de los logs de autenticación, sesión y exportación de datos
• Implementación de controles de seguridad adicionales para detectar y bloquear actividades similares en el futuro
• Cooperación con las autoridades y asesores externos de seguridad

Información para clientes

• Los clientes que recibieron contacto de Mixpanel fueron informados sobre las medidas de protección de cuentas y los pasos siguientes
• Los clientes que no recibieron contacto no necesitan realizar ninguna acción adicional; sus cuentas no se vieron afectadas
• Las consultas pueden enviarse a [e-mail]

Postura de la empresa

• Mixpanel reafirmó, a partir de este incidente, su compromiso con el fortalecimiento de la seguridad y la comunicación transparente
• Mantendrá la protección de los datos de los clientes como un principio central de sus productos y servicios
• También planea seguir mejorando su sistema de respuesta a incidentes de seguridad y ampliar la colaboración externa

[GN⁺]

Comentarios en Hacker News

• De verdad no me gusta nada la forma en que está redactado este texto
  No hay cifras ni fechas concretas sobre qué sistema fue accedido, qué información quedó expuesta ni qué tan “proactiva” fue la respuesta
  La cita del artículo dice que “Mixpanel detectó una campaña de smishing”, pero no queda claro quiénes fueron los objetivos ni cuál fue la escala
  Dicen que “bloquearon el acceso no autorizado y tomaron medidas de seguridad”, así que claramente hubo una intrusión, pero no mencionan qué cuentas o sistemas estuvieron involucrados
  El hecho de que hayan hecho un “restablecimiento de contraseñas para todo el personal” sugiere que anticipaban una posible filtración de credenciales internas

  • Igual que decir “incidente familiar reciente” en vez de “accidente familiar”, el tono vago y defensivo de este texto resulta molesto
    La frase “lo compartimos por transparencia” también suena como esas disculpas deshumanizadas del tipo “le ofrecemos un reembolso como gesto de buena voluntad”
  • El aviso de OpenAI sobre el mismo incidente fue mucho más claro y transmitía más confianza
  • Da la impresión de que OpenAI básicamente se adelantó a hacerlo público y que Mixpanel no tuvo más remedio que salir después
  • Que lo hayan anunciado el mismo Día de Acción de Gracias también parece un timing intencional
  • Yo también recibí un día antes un aviso mucho más informativo por parte de OpenAI

• El texto de Mixpanel se siente mucho más escaso y opaco que el aviso de OpenAI
  Aunque Mixpanel seguramente tiene más información, reveló mucho menos
  Eso le da un golpe fuerte a la credibilidad de la empresa

  • Al final OpenAI básicamente sacó a Mixpanel de su lista de proveedores
    La frase “dejamos de usar Mixpanel porque no cumplió nuestros estándares de seguridad y privacidad” es un mensaje bastante fuerte
  • Cointracker también habría enviado un correo parecido casi al mismo tiempo. Probablemente usaron una plantilla común

• Es decepcionante que Mixpanel supiera del incidente el 8 de noviembre y recién lo anunciara en la víspera de Acción de Gracias

  • Eso parece violar la regla del GDPR de notificar en 72 horas

• El aviso de Mixpanel es confuso
  Recibí un “correo sobre un incidente de seguridad” aunque ya había cerrado mi cuenta
  No queda claro si la cuenta cerrada fue afectada o no

  • Cerrar la cuenta no significa que los datos se eliminen de inmediato
    Si recibiste el correo, es muy posible que los datos todavía siguieran ahí
  • Recibir el correo no significa necesariamente que te hayan afectado
    Mixpanel dijo que “contactó individualmente a los clientes afectados”, así que, si no recibiste una notificación aparte, habría que interpretar que estás a salvo
  • Si vives en Europa, incluso podrías demandar por una violación del ‘derecho al olvido’ del GDPR si no eliminaron tus datos después de cerrar la cuenta

• Al punto de que ya hacen bromas sobre si la acción va a subir solo porque OpenAI usó Mixpanel

  • Pero según el FAQ de OpenAI, ya lo eliminaron
  • En el correo a usuarios también dejaron claro que OpenAI ya no usa Mixpanel

• El texto de Mixpanel merece aparecer en los libros como un mal ejemplo de respuesta a una crisis
  El aviso de OpenAI incluso resume mejor el incidente que el propio Mixpanel
  La frase “dejamos de usar Mixpanel porque no cumplió con los estándares de seguridad de un socio” es una declaración pública de desconfianza hacia un proveedor

• Nunca había escuchado el término “smishing”
  Es un ataque de phishing por SMS, una táctica para robar información personal mediante mensajes de texto

  • Un ejemplo real sería un mensaje de ingeniería social como: “Soy Josh de OpenAI, ¿me puedes desactivar el 2FA? Estoy en el extranjero y no puedo autenticarme”

• Este incidente muestra la lección de seguridad de 2025: “el proveedor es la superficie de ataque”
  Si vulneran a un proveedor en el que confiabas, también pueden quedar expuestos los datos de sus clientes en cadena
  Cuanto más sensible sea una tarea, más importante es minimizar los datos que compartes con terceros
  En lugar del viejo modelo de “confía, pero verifica”, ahora hace falta uno de “verifica o no compartas”

• El titular del artículo dice “breach”, pero en el texto original no usan esa palabra

  • “Incidente de seguridad” es solo un eufemismo revisado por abogados; la frase “bloqueamos el acceso no autorizado” ya deja claro que sí hubo una intrusión
  • Como referencia, el aviso de OpenAI y el aviso de CoinTracker especifican que se expusieron nombres de usuario, correos electrónicos e información de ubicación
  • El texto de Mixpanel está lleno de frases evasivas, pero en la práctica se trata claramente de una intrusión

• Publicar una información tan importante justo antes de un feriado largo parece una decisión muy calculada en cuanto al timing