Platforma z treściami dla dorosłych PornHub potwierdziła, że jest szantażowana przez grupę ShinyHunters po tym, jak atakujący twierdzili, że posiadają historyczne dane analityczne dotyczące aktywności użytkowników Premium, w tym historię wyszukiwania, oglądania i pobierania.
Incydent jest powiązany z niedawnym naruszeniem bezpieczeństwa u dostawcy usług analitycznych Mixpanel, który został zaatakowany 8 listopada 2025 r. w wyniku ataku phishingowego przez SMS (smishing). PornHub twierdzi, że nie korzysta z Mixpanel od 2021 roku, co sugeruje, że ujawnione dane są historyczne, a nie bieżące.
Jakie dane rzekomo ujawniono
Według ShinyHunters wykradziony zbiór danych obejmuje ponad 201 milionów rekordów (94 GB) zawierających:
- Adresy e-mail
- Historię wyszukiwania i oglądania
- Aktywność związaną z pobieraniem
- Adresy URL filmów, nazwy i słowa kluczowe
- Znaczniki czasu i dane o lokalizacji
Tego typu dane uznaje się za wyjątkowo wrażliwe, nawet bez haseł czy informacji o płatnościach.
Sprzeczne oświadczenia
- PornHub: potwierdza wpływ na wybranych użytkowników Premium, ale twierdzi, że nie doszło do naruszenia jego własnych systemów
- Mixpanel: twierdzi, że nie znalazł dowodów, iż dane pochodzą z listopadowego naruszenia, i utrzymuje, że ostatni raz dostęp do danych uzyskało w 2023 roku legalne konto spółki nadrzędnej PornHub
- ShinyHunters: przyznaje się do wysyłania e-maili wymuszających okup i twierdzi, że dane pochodzą z analityki powiązanej z Mixpanel
Tło działalności grupy
ShinyHunters stało za niektórymi z największych naruszeń 2025 roku, w tym:
- Przejęciami integracji Salesforce
- Wykorzystaniem luki zero-day w Oracle E-Business Suite (CVE-2025-61884)
- Naruszeniem w GainSight, które dotknęło wiele organizacji
- Trwającymi atakami powiązanymi z Salesforce / Drift
Grupa podobno uruchamia również platformę ransomware-as-a-service (RaaS) o nazwie ShinySpid3r, powiązaną z aktorami związanymi z Scattered Spider.
Dlaczego to ważne
Ten przypadek pokazuje długoterminowe ryzyko związane z danymi analitycznymi stron trzecich, gdzie historyczne rekordy mogą być wykorzystywane nawet po latach do:
- Wymuszeń
- Szkodzenia reputacji
- Naruszeń prywatności
- Poważnych szkód psychologicznych dla ofiar
