PornHub afgeperst na datalek van gebruikersgegevens

Het gaat om zoek-, kijk- en downloadgegevens die volgens de aanvallers afkomstig zijn uit een datalek bij analysebedrijf Mixpanel. Vorige week bevestigde PornHub dat het getroffen is door een beveiligingsincident bij Mixpanel, een externe leverancier van analysetools. Mixpanel werd begin november gecompromitteerd na een zogeheten smishing-aanval, waarbij medewerkers via frauduleuze sms-berichten werden misleid om inloggegevens prijs te geven.

Volgens PornHub raakt het incident enkel een beperkte groep Premium-gebruikers en gaat het nadrukkelijk niet om een inbraak in de eigen systemen. “Wachtwoorden, betaalgegevens en financiële informatie zijn niet blootgesteld”, benadrukt het bedrijf, dat het incident zelf meldt. PornHub zegt bovendien sinds 2021 niet meer met Mixpanel samen te werken, wat erop wijst dat de gestolen data minstens vier jaar oud is.

Afpersing door ShinyHunters

Intussen blijkt dat ShinyHunters achter de afpersingspoging zit. De groep stuurde vorige week e-mails naar meerdere Mixpanel-klanten waarin ze dreigen gestolen data openbaar te maken als er geen losgeld wordt betaald. In het geval van PornHub claimen de aanvallers 94 GB aan data te hebben buitgemaakt, goed voor meer dan 200 miljoen records.

In een reactie aan BleepingComputer bevestigde ShinyHunters dat het om ruim 201 miljoen analytische gebeurtenissen gaat, waaronder zoekopdrachten en kijkgedrag van Premium-gebruikers. Een beperkte dataset die werd ingezien door journalisten bevat onder meer e-mailadressen, bekeken video’s, gebruikte zoektermen, tijdstippen en bijbehorende URL’s, informatie die voor betrokkenen bijzonder gevoelig ligt.

Tegenstrijdige verklaringen

Mixpanel zelf betwist dat deze gegevens uit het recente novemberlek afkomstig zijn. Volgens het bedrijf werd de data in kwestie in 2023 nog geraadpleegd via een legitiem account van het moederbedrijf van PornHub. “We vinden geen aanwijzingen dat deze gegevens tijdens het incident van november 2025 zijn gestolen”, laat Mixpanel weten. Hoe de data dan precies in handen van ShinyHunters is geraakt, blijft voorlopig onduidelijk.

PornHub gaf na de eerste verklaring geen verdere commentaar over de afpersing of de herkomst van de data.

Geen onbekende

ShinyHunters heeft al wat meer op zijn kerfstok als het over data-inbreuken gaat. De groep van cybercriminelen dook de voorbije jaren op bij meerdere grootschalige datalekken en werd gelinkt aan aanvallen via kwetsbare Salesforce-integraties. Ook bij eerdere incidenten rond Oracle E-Business Suite en bedrijven als GainSight viel hun naam.

Voor getroffen PornHub-gebruikers blijft het voorlopig onduidelijk wat er met hun gegevens zal gebeuren, en het realistisch is dat ShinyHunters wat met hun persoonlijke data gaan aanvangen.

• Lees ook: Opgepast: nieuwe PayPal-scam gebruikt officieel e-mailadres