Insiden Pelanggaran Keamanan Mixpanel

• Pada 8 November 2025, Mixpanel mendeteksi serangan smishing yang berdampak pada sebagian pelanggan dan segera menjalankan prosedur respons
• Perusahaan menerapkan langkah-langkah komprehensif seperti memblokir akses tidak sah, melindungi akun yang terdampak, dan bekerja sama dengan mitra keamanan siber eksternal
• Tindakan respons mencakup mengakhiri sesi, mengganti kredensial, memblokir IP berbahaya, dan mereset seluruh kata sandi karyawan
• Mixpanel memberi tahu langsung pelanggan yang terdampak, serta menyatakan bahwa pengguna yang tidak menerima kontak tidak terkena dampak
• Perusahaan menjadikan penguatan keamanan dan transparansi sebagai prioritas utama secara berkelanjutan

---

Ringkasan insiden keamanan terbaru

• Pada 8 November 2025, Mixpanel mendeteksi kampanye smishing dan segera mengaktifkan proses respons insiden
  • Menerapkan langkah-langkah untuk memblokir akses tidak sah dan melindungi akun pengguna yang terdampak
  • Melibatkan mitra keamanan siber eksternal untuk pemulihan dan respons insiden
• Mixpanel menghubungi langsung semua pelanggan yang terdampak, dan menyatakan bahwa pelanggan yang tidak dihubungi tidak terdampak
• Perusahaan menyatakan keamanan sebagai nilai inti dan akan terus memberikan dukungan pelanggan serta komunikasi yang transparan

Rincian tindakan respons

• Melindungi akun yang terdampak serta mencabut semua sesi aktif dan login
• Mengganti kredensial yang disusupi dan memblokir alamat IP berbahaya
• Mendaftarkan IOC (Indicators of Compromise) ke platform SIEM untuk memperkuat deteksi ancaman
• Melakukan reset penuh kata sandi seluruh karyawan
• Menunjuk perusahaan forensik eksternal untuk menganalisis penyebab insiden dan memberikan saran langkah pemblokiran
• Melakukan tinjauan forensik terhadap log autentikasi, sesi, dan ekspor data
• Memperkenalkan kontrol keamanan tambahan untuk mendeteksi dan memblokir aktivitas serupa di masa depan
• Bekerja sama dengan aparat penegak hukum dan dewan penasihat keamanan eksternal

Panduan bagi pelanggan

• Pelanggan yang dihubungi oleh Mixpanel menerima panduan mengenai langkah perlindungan akun dan tahapan lanjutan
• Pelanggan yang tidak dihubungi tidak perlu mengambil tindakan tambahan, karena akun mereka tidak terdampak
• Pertanyaan dapat dikirim melalui [e-mail]

Sikap perusahaan

• Mixpanel kembali menegaskan penguatan keamanan dan komunikasi yang transparan melalui insiden ini
• Perusahaan akan mempertahankan perlindungan data pelanggan sebagai prinsip inti produk dan layanan
• Ke depannya, perusahaan berencana terus meningkatkan sistem respons insiden keamanan dan memperluas kerja sama eksternal

[GN⁺]

Komentar Hacker News

• Saya benar-benar tidak suka cara tulisan ini disusun
  Sama sekali tidak ada angka atau jadwal yang spesifik tentang sistem apa yang diakses, informasi apa yang terekspos, dan seberapa “proaktif” respons mereka
  Kutipan artikelnya mengatakan “Mixpanel mendeteksi kampanye smishing”, tetapi tidak jelas siapa yang menjadi target atau seberapa besar skalanya
  Mereka bilang “memblokir akses tidak sah dan mengambil langkah keamanan”, jadi jelas memang ada pelanggaran, tetapi tidak disebut akun atau sistem mana yang terdampak
  Fakta bahwa mereka melakukan “reset kata sandi untuk seluruh karyawan” terlihat berarti mereka memperkirakan ada kemungkinan kebocoran kredensial internal

  • Seperti menyebut “kecelakaan keluarga” sebagai “insiden keluarga baru-baru ini”, nada yang samar dan defensif dalam tulisan ini terasa menjengkelkan
    Kalimat “kami membagikan ini demi transparansi” juga terdengar seperti surat permintaan maaf yang tidak manusiawi, semacam “kami memberi refund sebagai gestur niat baik”
  • Pengumuman OpenAI tentang insiden yang sama jauh lebih jelas dan terasa lebih dapat dipercaya
  • Saya jadi bertanya-tanya apakah OpenAI pada dasarnya lebih dulu mengungkapkannya sehingga Mixpanel terpaksa ikut mengumumkan
  • Fakta bahwa pengumuman itu dirilis tepat pada Hari Thanksgiving juga tampak seperti timing yang disengaja
  • Saya sendiri menerima pengumuman yang jauh lebih informatif dari OpenAI sehari sebelumnya

• Tulisan Mixpanel terasa jauh lebih kurang memadai dan tidak transparan dibanding pengumuman OpenAI
  Mixpanel tampaknya punya lebih banyak informasi, tetapi yang diungkap justru jauh lebih sedikit
  Ini adalah hal yang sangat merusak kepercayaan pada perusahaan

  • Pada akhirnya OpenAI mengeluarkan Mixpanel dari daftar vendor
    Frasa “menghentikan penggunaan Mixpanel karena tidak memenuhi standar keamanan dan privasi” adalah pesan yang sangat kuat
  • Cointracker kabarnya juga mengirim email serupa pada waktu yang hampir sama. Mungkin mereka memakai template yang sama

• Mixpanel mengetahui insiden ini pada 8 November, tetapi baru mengumumkannya sehari sebelum Thanksgiving, dan itu mengecewakan

  • Ini tampaknya melanggar aturan notifikasi 72 jam GDPR

• Pengumuman Mixpanel membingungkan
  Saya sudah menutup akun, tetapi tetap menerima “email terkait insiden keamanan”
  Tidak jelas apakah akun yang sudah ditutup itu terdampak atau tidak

  • Menutup akun tidak berarti datanya langsung dihapus
    Jika Anda menerima email itu, besar kemungkinan data Anda masih tersimpan
  • Menerima email itu tidak otomatis berarti Anda terdampak
    Mixpanel mengatakan mereka “menghubungi pelanggan yang terdampak secara individual”, jadi jika tidak ada pemberitahuan terpisah, kemungkinan Anda aman
  • Jika Anda tinggal di Eropa, Anda bahkan bisa menuntut soal kegagalan menghapus data setelah akun ditutup sebagai pelanggaran hak untuk dilupakan dalam GDPR

• Sampai muncul candaan apakah harga saham akan naik hanya karena OpenAI pernah memakai Mixpanel

  • Tetapi menurut FAQ OpenAI, mereka sudah menghapus Mixpanel
  • Dalam email ke pengguna pun OpenAI dengan jelas menyatakan bahwa mereka tidak lagi menggunakan Mixpanel

• Tulisan Mixpanel pantas masuk buku pelajaran sebagai contoh buruk penanganan krisis
  Pengumuman OpenAI justru merangkum insiden ini lebih baik daripada Mixpanel sendiri
  Kalimat “mengakhiri penggunaan Mixpanel karena tidak memenuhi standar keamanan partner” adalah deklarasi ketidakpercayaan publik terhadap vendor

• Saya baru pertama kali mendengar istilah “smishing”
  Ini adalah serangan phishing yang menggunakan SMS, yakni metode mencuri informasi pribadi lewat pesan teks

  • Contoh nyatanya bisa berupa pesan rekayasa sosial seperti “Ini Josh dari OpenAI, bisa matikan 2FA? Saya sedang di luar negeri jadi sulit verifikasi”

• Insiden ini menunjukkan pelajaran keamanan tahun 2025 bahwa “vendor adalah permukaan serangan”
  Jika vendor yang dipercaya dibobol, data pelanggan mereka pun ikut terekspos secara berantai
  Untuk pekerjaan yang sensitif, data yang dibagikan ke pihak ketiga harus diminimalkan
  Alih-alih model lama “percaya tapi verifikasi”, sekarang kita butuh pendekatan “verifikasi atau jangan bagikan”

• Judul artikel menyebut “breach”, tetapi teks aslinya tidak memakai kata itu

  • “Security incident” hanyalah eufemisme yang kemungkinan sudah melewati nasihat hukum, dan kalimat “memblokir akses tidak sah” sendiri sudah menunjukkan bahwa memang ada pelanggaran
  • Sebagai referensi, pengumuman OpenAI dan pengumuman CoinTracker menyebut secara jelas bahwa nama pengguna, email, dan informasi lokasi terekspos
  • Tulisan Mixpanel penuh dengan ungkapan yang menghindar, tetapi secara substansi ini jelas merupakan pelanggaran

• Mengungkap informasi sepenting ini tepat sebelum libur panjang terlihat seperti pilihan timing yang sangat diperhitungkan