94GB dữ liệu khách VIP nền tảng video người lớn PornHub bị doạ công khai

Nền tảng video người lớn PornHub đang trở thành mục tiêu tống tiền của nhóm tin tặc khét tiếng ShinyHunters, sau khi dữ liệu liên quan đến lịch sử tìm kiếm và xem nội dung của người dùng Premium bị đánh cắp trong một vụ rò rỉ dữ liệu được cho là xuất phát từ công ty phân tích dữ liệu Mixpanel.

Vụ việc làm dấy lên những lo ngại nghiêm trọng về quyền riêng tư, đặc biệt khi dữ liệu bị lộ liên quan trực tiếp đến hành vi tiêu thụ nội dung nhạy cảm của người dùng.

Theo thông tin được công bố, PornHub xác nhận họ bị ảnh hưởng gián tiếp bởi một sự cố an ninh mạng tại Mixpanel – đối tác cung cấp dịch vụ phân tích dữ liệu bên thứ ba.

Mixpanel đã bị xâm nhập vào ngày 8/11/2025, sau khi tin tặc thực hiện thành công một cuộc tấn công lừa đảo qua tin nhắn SMS (smishing), từ đó chiếm quyền truy cập vào hệ thống nội bộ.

Dữ liệu người dùng cao cấp nhạy cảm mức nào?

Trong thông báo an ninh đăng tải hôm thứ Sáu, PornHub cho biết sự cố chỉ ảnh hưởng đến “một số người dùng Premium được chọn”, đồng thời nhấn mạnh rằng hệ thống của PornHub không bị xâm nhập trực tiếp.

“Đây không phải là một vụ vi phạm hệ thống của PornHub Premium. Mật khẩu, thông tin thanh toán và dữ liệu tài chính của người dùng vẫn được bảo mật an toàn và không bị lộ”, thông báo nêu rõ.

PornHub cũng khẳng định họ đã ngừng hợp tác với Mixpanel từ năm 2021, đồng nghĩa với việc dữ liệu bị đánh cắp, nếu có, chỉ là dữ liệu phân tích lịch sử, được thu thập từ năm 2021 trở về trước. Điều này phần nào làm giảm mức độ ảnh hưởng đối với người dùng hiện tại, nhưng không xóa bỏ hoàn toàn những rủi ro liên quan đến quyền riêng tư.

Trang tin an ninh mạng Bleeping Computer là đơn vị đầu tiên đưa tin về vụ việc. Bleeping Computer cho biết họ đã được ShinyHunters chia sẻ một phần nhỏ dữ liệu và xác nhận rằng tập tin này bao gồm địa chỉ email, vị trí, danh sách video đã xem, từ khóa gắn với từng video, thời điểm xem cũng như việc video có được tải xuống hay không.

Dù vậy, Mixpanel tiếp tục phủ nhận rằng những thông tin này xuất phát từ vụ vi phạm dữ liệu hồi tháng 11. “Chúng tôi không tìm thấy bất kỳ dấu hiệu nào cho thấy dữ liệu này bị đánh cắp trong sự cố an ninh tháng 11/2025 hoặc từ bất kỳ sự cố nào khác tại Mixpanel,” đại diện công ty cho biết.

Tuy nhiên, thông tin được nhóm tin tặc ShinyHunters xác nhận với hãng tin Reuters hôm thứ Ba, cho thấy dữ liệu bị đánh cắp thuộc về các khách hàng Premium của Pornhub, bao gồm nhiều thông tin nhạy cảm. Nhóm này cho biết đang yêu cầu Pornhub trả tiền chuộc bằng Bitcoin để đổi lấy việc không công bố và xóa hoàn toàn dữ liệu đã lấy được.

Mặc dù Reuters chưa thể ngay lập tức xác định đầy đủ quy mô, phạm vi và chi tiết cụ thể của vụ xâm nhập, nhưng nhóm tin tặc đã cung cấp một mẫu dữ liệu để chứng minh tuyên bố của mình. Hãng tin cho biết đã xác thực được một phần thông tin trong số đó.

Ít nhất ba người từng là khách hàng của Pornhub, hai người đàn ông tại Canada và một người đàn ông tại Mỹ, đã xác nhận với Reuters rằng dữ liệu liên quan đến họ là có thật, dù phần lớn thông tin đã tồn tại từ nhiều năm trước. Do tính chất nhạy cảm của vụ việc, cả ba đều yêu cầu được giấu tên.

Một trong những nạn nhân cho biết việc thông tin cá nhân gắn với thói quen xem nội dung khiêu dâm có nguy cơ bị công khai là “một cơn ác mộng về danh dự và đời sống riêng tư”.

Trong yêu cầu gửi tới PornHub, ShinyHunters tuyên bố đã đánh cắp 94GB dữ liệu, bao gồm hơn 200 triệu bản ghi thông tin cá nhân. Nhóm tin tặc sau đó xác nhận với BleepingComputer rằng dữ liệu gồm 201.211.943 bản ghi lịch sử tìm kiếm, xem và tải xuống của người dùng Premium PornHub.

Một mẫu dữ liệu nhỏ được chia sẻ cho thấy mức độ nhạy cảm đáng báo động. Các bản ghi phân tích gửi tới Mixpanel chứa địa chỉ email người dùng, loại hoạt động, vị trí, đường dẫn video, tên video, từ khóa liên quan và thời điểm diễn ra hoạt động. Đây là những thông tin mà hầu hết người dùng đều không muốn bị công khai trong bất kỳ hoàn cảnh nào.

Tranh cãi giữa các bên vẫn chưa ngã ngũ, trong khi mối lo lớn nhất hiện nay vẫn là nguy cơ dữ liệu nhạy cảm của hàng triệu người dùng Pornhub có thể bị phơi bày trước công chúng – một kịch bản có thể gây hậu quả nghiêm trọng cho đời sống cá nhân và xã hội.

Nguy cơ xâm phạm quyền riêng tư ở mức nghiêm trọng

Trong khi các bên liên quan còn tranh cãi về nguồn gốc dữ liệu, trang tin công nghệ Bleeping Computer tiết lộ rằng ShinyHunters đã bắt đầu gửi email tống tiền tới các khách hàng của Mixpanel từ tuần trước.

Các email này mở đầu bằng dòng chữ “Chúng tôi là ShinyHunters”, kèm theo lời đe dọa sẽ công bố dữ liệu bị đánh cắp nếu không nhận được tiền chuộc.

Dữ liệu bị lộ còn bao gồm việc người dùng đã xem hay tải video, truy cập kênh nội dung nào, thậm chí cả lịch sử tìm kiếm. Trong bối cảnh PornHub là nền tảng nội dung người lớn, việc những dữ liệu này rơi vào tay tin tặc có thể dẫn đến hậu quả nặng nề về danh tiếng, tâm lý và cả an toàn cá nhân của nạn nhân.

Mặc dù chưa có bằng chứng cho thấy dữ liệu đã bị công khai, chỉ riêng việc ShinyHunters nắm giữ chúng cũng đủ để tạo ra áp lực tống tiền lớn đối với PornHub và các bên liên quan.

Trong cuộc trao đổi với Reuters, ShinyHunters khẳng định: “Chúng tôi đang yêu cầu một khoản tiền chuộc bằng Bitcoin để ngăn chặn việc công bố dữ liệu [của Pornhub] và để xóa dữ liệu đó”. Tuy nhiên, nhóm này không tiết lộ số tiền cụ thể cũng như thời hạn cuối cùng cho yêu cầu trên.

Trong khi đó, Pornhub và công ty sở hữu của nền tảng này – Ethical Capital Partners, có trụ sở tại Ottawa, Canada – không phản hồi các yêu cầu bình luận của Reuters.

ShinyHunters – “hung thần” của các vụ rò rỉ dữ liệu năm 2025

ShinyHunters không phải là cái tên xa lạ trong giới an ninh mạng. Trong năm 2025, nhóm này đứng sau hàng loạt vụ xâm nhập quy mô lớn bằng cách tấn công các công ty tích hợp Salesforce, từ đó đánh cắp dữ liệu doanh nghiệp.

Nhóm tin tặc này còn bị liên kết với việc khai thác lỗ hổng zero-day trong Oracle E-Business Suite (CVE-2025-61884), cũng như các cuộc tấn công nhắm vào Salesforce và Drift, ảnh hưởng đến hàng loạt tổ chức toàn cầu. Gần đây nhất, ShinyHunters bị cáo buộc đứng sau vụ xâm nhập GainSight, tiếp tục mở rộng kho dữ liệu đánh cắp từ các hệ thống Salesforce.

Với việc xác nhận đứng sau vụ Mixpanel, ShinyHunters hiện được xem là thủ phạm của một trong những chuỗi vi phạm dữ liệu nghiêm trọng nhất năm 2025, ảnh hưởng đến hàng trăm công ty và hàng trăm triệu người dùng.

Không dừng lại ở tống tiền dữ liệu, ShinyHunters còn đang phát triển một nền tảng ransomware-as-a-service (RaaS) mới mang tên ShinySpid3r. Nền tảng này được cho là sẽ cho phép ShinyHunters và các nhóm liên quan, bao gồm cả Scattered Spider, triển khai các cuộc tấn công mã hóa dữ liệu quy mô lớn trong tương lai.

Diễn biến này cho thấy bức tranh an ninh mạng toàn cầu đang ngày càng phức tạp, trong đó dữ liệu cá nhân, kể cả những dữ liệu riêng tư nhất, tiếp tục trở thành món hàng béo bở cho các tổ chức tội phạm mạng tinh vi.