Pornhub : exposition de données via Mixpanel

Mi-décembre 2025, Pornhub a publié une notice officielle (“Important Message From Pornhub”) avertissant ses utilisateurs Premium d’un incident de sécurité touchant des données analytiques. Selon l’entreprise, l’exposition est liée à un prestataire tiers, Mixpanel, victime d’une compromission le 8 novembre 2025, attribuée par les sources à une campagne d’hameçonnage par SMS. Pornhub précise qu’aucun mot de passe, donnée de paiement ni information financière n’a été exposé, et indique coopérer avec les autorités compétentes.

Le groupe d’extorsion ShinyHunters revendique le vol d’environ 94 Go de données, soit plus de 200 millions d’enregistrements (201 211 943 selon ses propres déclarations) d’activité Premium. Un échantillon partagé par les attaquants contiendrait des adresses e-mail, le type d’activité, des données de localisation, des URL et titres de vidéos consultées, des mots-clés associés et des horodatages. Ces chiffres et cet inventaire reposent sur les affirmations des attaquants et ne sont pas confirmés de façon indépendante.

L’origine exacte des données reste disputée. Mixpanel affirme n’avoir trouvé aucune indication que ces données aient été exfiltrées lors de son incident de novembre 2025 et suggère qu’elles pourraient provenir d’un accès plus ancien, datant de 2023, via un compte employé du groupe Aylo, maison mère de Pornhub. De son côté, Pornhub évoque un ensemble limité d’événements concernant certains utilisateurs Premium. Le statut de cette fiche est donc qualifié d’alléguée tant que le périmètre n’est pas établi officiellement.

Pornhub étant une plateforme mondiale, des utilisateurs européens et français figurent nécessairement parmi les personnes potentiellement concernées, même si aucune source consultée ne fournit de chiffre par pays ni ne mentionne, à ce stade, de saisine de la CNIL ou d’une autorité européenne de protection des données. Plusieurs recours collectifs ont été engagés aux États-Unis contre Aylo. L’entreprise alerte par ailleurs sur un risque élevé de courriels de sextorsion ou d’arnaque exploitant ces données : les utilisateurs sont invités à se méfier de tout message évoquant leur activité, et à ne jamais communiquer mot de passe ou informations de paiement par e-mail.