Как Утек Porn Hub

Если вы думали, что самое страшное в интернете — это утечка паролей, то у 2025 года для вас плохие новости. Хуже паролей бывает только история просмотров. Особенно если речь идёт про PornHub. И особенно если этой историей внезапно обзавелась хак-группировка ShinyHunters.

По данным SecurityAffairs, ребята из ShinyHunters заявили, что вынесли данные пользователей PornHub и попытались аккуратно, но настойчиво намекнуть компании на выкуп. В их руках, по собственным словам, оказалась история поиска и просмотров пользователей PornHub Premium. Не просто логины, а именно то, что обычно люди предпочитают не видеть даже в собственном браузере без режима инкогнито.

Самое интересное — PornHub как таковой, судя по заявлениям, никто напрямую не ломал. Никаких «мы проломили прод, выкачали базу и ушли». Всё куда прозаичнее и одновременно больнее: утечка якобы произошла через стороннюю аналитическую платформу Mixpanel. Ту самую, которую любят ставить «просто посмотреть метрики» и которая в итоге знает о пользователях больше, чем сама компания.

По версии Mixpanel, 8 ноября у них случилась смишинг-атака. Классика жанра: кто-то кликнул не туда, ввёл не то, и привет, доступ к данным. Компания поспешила успокоить публику, заявив, что пострадало «ограниченное число клиентов». В переводе с PR-языка это может означать что угодно — от пары тестовых аккаунтов до сотен миллионов событий.

PornHub, в свою очередь, подтвердил факт инцидента, но сразу расставил акценты. Мол, наши системы в порядке, прод не горел, базы не текли. Проблема была у стороннего поставщика аналитики. Пострадала лишь часть пользователей Premium, а пароли, платёжки и финансовые данные не утекли. Формально — всё под контролем.

При этом компания добавила вишенку на торт: оказывается, они вообще-то не сотрудничают с Mixpanel с 2021 года. Но, несмотря на это, решили уведомить пользователей, потому что получили информацию о возможной утечке. Звучит как «мы давно расстались, но её старые сообщения всё равно всплыли в чате».

После шума PornHub запустил внутреннее расследование, привлёк специалистов по кибербезопасности, уведомил регуляторов и попросил пользователей быть внимательными. Вежливо, аккуратно и уже после того, как тема улетела в заголовки.

Эксперты же смотрят на ситуацию без розовых очков. История поиска и просмотров на сайтах для взрослых — это не просто персональные данные. Это готовый инструмент для шантажа, давления и социальной инженерии. Особенно если к этим данным добавляются email, геолокация и временные метки. Можно не взламывать — можно просто написать.

ShinyHunters утверждают, что у них на руках 94 ГБ данных. Более 200 миллионов записей клиентов Mixpanel. В этом массиве, по их словам, есть история поиска, просмотров и загрузок пользователей PornHub Premium, адреса электронной почты, данные о местоположении, метаданные видео и тайминги активности. Практически цифровой дневник, который никто не собирался публиковать.

Важно понимать, что это не первый раз, когда ShinyHunters всплывают в новостях. Группа давно известна охотой за крупными датасетами, громкими именами и последующим вымогательством. Их стиль — не тихий APT, а демонстративное «смотрите, что у нас есть».

Эта история в очередной раз показывает, что самые опасные утечки происходят не там, где ждёшь. Не обязательно ломать PornHub, если можно зайти через аналитику. Не обязательно красть пароли, если можно украсть привычки. И не обязательно иметь доступ к платёжкам, чтобы нанести реальный ущерб.

Мораль у этой истории тоже не новая, но каждый раз актуальная. Любой сторонний сервис, которому вы отдаёте данные пользователей, — это часть вашей attack surface. Даже если вы «давно с ним не работаете». Даже если это всего лишь аналитика. Даже если кажется, что там нет ничего чувствительного.

А для пользователей вывод ещё проще. Интернет помнит всё. А если что-то знает Mixpanel, рано или поздно это может узнать кто-то ещё.