Если для оплаты ChatGPT вас просят прислать токен сессии, cookie авторизации или целиком скопировать данные текущего входа, не отправляйте их. Эти данные могут дать получателю доступ от вашего имени. Обещание «пароль нам не нужен» не устраняет этот риск.
На Reddit пользователь из России спросил о такой покупке: посредник предложил вставить на сторонний сайт код заказа и весь JSON со служебной страницы сессии ChatGPT. Автор не сообщил о подтверждённом взломе. Разберём сам запрос продавца, без обвинений в адрес конкретного сервиса.
Что именно у вас просят
Слово «токен» здесь легко вводит в заблуждение:
- Токены текста используются для учёта объёма запросов и ответов модели.
- API-ключ даёт программе доступ к API в пределах разрешений ключа.
- Токен сессии связан с уже выполненным входом в аккаунт.
Если продавец говорит, что ему нужен «только ID», но просит скопировать весь JSON, остановитесь. Название поля в инструкции продавца ничего не говорит о безопасности остальных передаваемых данных.
Если уже отправили данные сессии
1. Завершите входы на всех устройствах. В веб-версии ChatGPT откройте Settings, затем раздел безопасности (Security или Security and login) → Active sessions. Найдите Log out of all sessions, нажмите Log out all и подтвердите выход. Остальные сессии ChatGPT могут закрываться до 30 минут. Обычный выход только из своего браузера не заменяет эту процедуру. Инструкция OpenAI.
Для аккаунтов, связанных с SSO организации (SAML или OIDC), раздел Active sessions недоступен, даже если текущий вход выполнен другим способом. В таком случае обратитесь к администратору организации и в поддержку OpenAI.
2. Защитите способ входа. Если передавали пароль, использовали его на другом скомпрометированном сайте или заметили чужую активность, смените его. При входе через Google или Microsoft OpenAI рекомендует менять пароль соответствующего аккаунта. Что делать при посторонней активности.
3. Включите MFA после завершения сессий. Это дополнительная проверка при входе. Важно: само включение MFA не закрывает уже открытые сессии. Правила MFA.
4. Проверьте Security history и обратитесь в поддержку. Сохраните время передачи данных, переписку с продавцом и сведения о незнакомой активности. Сам токен не публикуйте в обсуждениях и скриншотах. Если пользуетесь API и подозреваете доступ к аккаунту, отдельно отзовите API-ключи и проверьте расходы. Рекомендации OpenAI при компрометации.
Список Active sessions не является полной картиной доступа: он, например, не показывает подключённые сторонние приложения и сессии Codex CLI. Отсутствие незнакомого устройства не доказывает, что переданные данные никто не использовал. Ограничения списка сессий.
Что выяснить до оплаты
Попросите продавца заранее описать, какие данные потребуются, на каком аккаунте появится подписка и что произойдёт при неудачной активации. Если условием остаётся передача действующего токена, cookie авторизации или полного JSON сессии, лучше отказаться от такого способа покупки. Даже успешно включённая подписка не подтверждает, что доступ к аккаунту остался только у вас.
Сталкивались с таким требованием? Опишите, что именно просили передать, без самих токенов, кодов и личных данных.
Проверено 9 ноября 2026 года.
Последнее редактирование: