ChatGPT:n Mac-sovellus lakkaa toimimasta 12. kesäkuuta – syynä tietoturvaloukkaus
Vanha sovellus ei enää käynnisty deadlinen jälkeen, koska OpenAI vaihtaa allekirjoitusvarmenteensa varotoimena. Pakotettu päivitysikkuna on samalla otollista aikaa väärennetyille latauksille.
Tiivistelma
OpenAI vaatii kaikkia macOS-käyttäjiä päivittämään ChatGPT-työpöytäsovelluksen ennen 12. kesäkuuta. Syynä on toimitusketjuhyökkäys, jonka vuoksi OpenAI vaihtaa varmuuden vuoksi koodinallekirjoitusvarmenteensa. Pakotettu päivitysikkuna houkuttelee huijareita levittämään väärennettyjä päivityslatauksia.
ChatGPT:n työpöytäsovellus Macilla saa kovan takarajan. OpenAI kertoo, että vanha macOS-sovellus lakkaa toimimasta kokonaan 12. kesäkuuta 2026.
Sen jälkeen sovellus ei enää käynnisty eikä päivity itsestään. Käyttäjän on siis päivitettävä uusimpaan versioon ennen tuota päivää tai sovellus jää käytännössä lukkoon.
Kyse ei ole tavallisesta versiopäivityksestä. Taustalla on tietoturvaloukkaus, joka pakottaa OpenAI:n vaihtamaan ne varmenteet, joilla se todistaa sovellustensa olevan aitoja.
Mitä tapahtui
OpenAI kertoo, että 11. toukokuuta avoimen lähdekoodin ohjelmistokirjasto TanStack joutui toimitusketjuhyökkäyksen kohteeksi. Hyökkäys on saanut tietoturvapiireissä lempinimen "Mini Shai-Hulud".
Toimitusketjuhyökkäys
Hyökkääjä ei murtaudu suoraan kohteeseen vaan saastuttaa jonkin sen käyttämän ohjelmistokomponentin. Haitallinen koodi leviää sitten kaikille, jotka kyseistä komponenttia käyttävät.
Haitallinen koodi päätyi tätä kautta kahden OpenAI:n työntekijän laitteelle. Yhtiön mukaan hyökkääjät pääsivät rajattuun joukkoon sisäisiä koodivarastoja ja veivät sieltä "rajallista tunnistautumismateriaalia". Tuo materiaali liittyi nimenomaan koodinallekirjoitusvarmenteisiin, joilla macOS varmistaa, että sovellus tulee aidosti OpenAI:lta.
OpenAI sanoo kuitenkin selvästi, ettei se ole löytänyt viitteitä siitä, että käyttäjien tietoja, salasanoja, API-avaimia tai tuotantojärjestelmiä olisi vuodettu. Mikään julkaistu sovellus ei myöskään yhtiön mukaan ole muuttunut.
– Emme ole löytäneet näyttöä siitä, että jo julkaistuihin sovelluksiimme olisi tehty muutoksia, OpenAI toteaa vastineessaan.
Varmenteen vaihto on siis varotoimi, ei vahvistettu ChatGPT-sovelluksen vaarantuminen. Onko järkevää reagoida näin voimakkaasti, jos suoraa todistetta ei ole?
OpenAI:n logiikka on oikeastaan yksinkertainen. Jos on pieninkin epäilys, että allekirjoitusavain on saattanut vuotaa, koko avain kannattaa hylätä ennen kuin joku ehtii käyttää sitä väärin.
Ketä tämä koskee
Takaraja koskee vain macOS-käyttäjiä. ChatGPT verkkoselaimessa, iPhonella, Androidilla, Windowsilla ja Linuxilla toimii normaalisti. Sama varmennevaihto koskee myös OpenAI:n Codex- ja Atlas-sovelluksia Macilla, mutta tavallisen käyttäjän kannalta kyse on nimenomaan ChatGPT-sovelluksesta.
OpenAI peruuttaa vanhan macOS-varmenteen 12. kesäkuuta. Sen jälkeen Applen Gatekeeper estää jokaisen sovelluksen, joka on yhä allekirjoitettu vanhalla varmenteella. Yhtiö antoi noin 30 päivän siirtymäajan, jotta sovelluksen sisäänrakennettu päivitin ehtii hoitaa vaihdon useimpien puolesta automaattisesti.
Mitä tehdä
Useimmilla päivitys tapahtuu hyvin itsestään. Sovellus ilmoittaa päivityksestä ja asentaa sen taustalla.
Voit myös tarkistaa tilanteen itse. Avaa ChatGPT-sovellus, valitse valikkoriviltä ChatGPT ja sieltä "Check for Updates". Vaihtoehtoisesti löydät version profiilikuvakkeen takaa asetuksista.
AppleInsiderin uutisoinnin mukaan uusimman macOS-version pitäisi olla vähintään 1.2026.125, joskaan OpenAI ei vahvista numeroa omilla sivuillaan.
Jos sovellus näyttää jo "damaged"-varoitusta tai ei avaudu, sisäänrakennettu päivitin ei enää toimi. Lataa silloin tuore kopio osoitteesta chatgpt.com/download.
Tässä on Huijausvahdin varsinainen huoli. Julkisuudessa kohuttu pakkopäivityksen takaraja on lahja huijareille. Odotettavissa on väärennettyjä "ChatGPT-päivitys vaaditaan" -sähköposteja, mainoksia ja aitoa muistuttavia lataussivustoja.
Sääntö on yksinkertainen. Lataa ChatGPT vain osoitteesta chatgpt.com/download tai Mac App Storesta. Älä koskaan sähköpostin linkistä, hakumainoksesta tai kolmannen osapuolen sivustolta.
Jos epäröit, poista sovellus ja asenna se uudelleen virallisesta lähteestä. Aito päivitys ei koskaan vaadi tunnuksia tai maksukortin tietoja, joten sellaista pyytävä viesti on huijaus.
Suomessa tarina kantautui lukijoille Mobiili.fi:n kautta, ja ChatGPT on Suomessa laajalti käytössä. Sitä, montako suomalaista käyttää sitä juuri Macilla, ei tiedetä.
Kyberturvallisuuskeskus tai Traficom eivät ainakaan vielä ole kommentoineet tapausta. Väärennetyistä päivitysviesteistä voi ilmoittaa osoitteeseen ilmoita.kyberturvallisuuskeskus.fi.