PornHub卷入数据泄露事件，获Chrome官方推荐的VPN扩展存在数据收集行为

此次成人网站PornHub数据泄露事件，根源在于其曾经合作的数据分析服务商Mixpanel发生安全事件，大量客户数据被黑客窃取，而并非平台自身系统遭到入侵。

据披露，发动此次攻击的是勒索软件团伙ShinyHunters。Mixpanel为多家科技公司提供数据分析服务，受影响的客户范围广泛，不仅包括PornHub，还涉及OpenAI以及大量使用Salesforce CRM系统的企业。

PornHub在回应中表示，该公司已于2021年停止与Mixpanel的合作，因此推测被窃取的数据均为2021年或更早的历史分析数据。PornHub同时强调，Premium高级会员的密码、支付信息及财务数据并未泄露。

不过，平台并未公开说明具体泄露了哪些数据。事实上，勒索团伙已向PornHub发送勒索邮件，要求其支付赎金，否则将公开相关数据。与此同时，ShinyHunters还向安全媒体BleepingComputer提供了部分样本数据。

样本显示，PornHub曾向Mixpanel上传大量与用户行为相关的敏感信息，包括Premium用户的电子邮件地址、地理位置、活动类型、观看的视频URL、视频标题、相关关键词以及具体时间戳。数据中还包含用户是否观看、下载过某些视频，浏览过哪些频道，以及主动搜索记录等行为信息。

这些数据一旦公开，可能对用户隐私造成严重影响。通过电子邮件地址即可关联到具体的观看偏好，例如内容取向、兴趣类型等，极易引发隐私暴露甚至“社死”风险。平台基于用户行为进行分析和推荐在技术层面虽属常见，但当此类分析发生在成人网站场景下，一旦数据泄露，其潜在影响显然更加敏感且难以估量，再次凸显了网络安全保护用户数据的至关重要性。

另一项安全风险则潜伏在浏览器扩展市场。一款获得Google Chrome“精选”徽章、安装量超过六百万的扩展程序被曝光，其代码正在静默收集用户向各类AI聊天机器人输入的所有对话内容，覆盖平台包括OpenAI ChatGPT、Anthropic Claude、Microsoft Copilot、DeepSeek、Google Gemini等。

该扩展在Chrome商店评分为4.7分，宣传为可解除内容封锁的安全工具。其开发商为Urban Cyber Security Inc.公司，该扩展在Microsoft Edge插件市场也有超过130万安装量。

尽管该扩展声称旨在让用户“保护在线身份、保持安全并隐藏IP”，但其在2025年7月9日更新的5.5.0版本中，默认启用了一项通过硬编码设置实现的AI数据收集功能。

数据窃取技术原理

该扩展通过为每个目标AI聊天平台（如chatgpt.js、claude.js）定制执行JavaScript脚本。当安装了该扩展的用户访问这些平台时，脚本就会被触发，其核心目的是拦截和收集对话内容。

具体而言，脚本注入后会重写浏览器处理网络请求的关键API（fetch()和XMLHttpRequest()），确保所有请求首先经过扩展代码的过滤。通过这种方式，它能捕获包括用户提示词和AI响应在内的完整对话数据，并将其发送至两个远程服务器。

扩展收集的数据类型包括：

• 用户输入的提示词
• 聊天机器人响应内容
• 会话标识符和时间戳
• 会话元数据
• 使用的AI平台和模型

隐私政策与数据共享

根据报告，该扩展的开发商在2025年6月更新的隐私政策中提到，收集这些数据是为了增强安全浏览功能和用于营销分析，并声称会对收集的AI提示词进行去标识化和匿名化处理。

然而，该VPN软件开发商承认，其将“网页浏览数据”共享给了一家名为BIScience的关联广告情报公司。该公司会使用原始（非匿名化）数据生成分析报告，用于商业用途并与合作伙伴共享。BIScience公司恰好也是Urban Cyber Security Inc.的母公司，此前就曾被曝在具有误导性的隐私政策下收集用户的浏览历史数据。

“AI保护”功能的真相

在扩展的功能描述中，开发者还突出宣传了一项“AI保护”功能，声称其会检查提示词中的个人数据、聊天机器人响应中的可疑链接，并在用户提交前显示警告。

虽然这一监控功能被包装为防止用户意外共享个人信息，但开发者未提及的是，无论该功能是否启用，后台的数据收集行为都会持续进行。这导致了一个矛盾的局面：扩展会警告用户不要向ChatGPT分享邮箱，却同时将包含该邮箱的整个对话内容外泄给第三方数据中介。

同源扩展生态

安全研究人员指出，同一发布者在Chrome和Microsoft Edge上还发布了另外三款具有相同AI数据收集功能的扩展，使其总受影响用户数超过八百万。这些扩展大多带有“精选”徽章，容易让用户误以为它们已通过严格审核并符合高标准。

这些发现再次警示，浏览器扩展市场的信任机制可能被滥用以实施大规模敏感数据收集。尤其在人工智能应用日益普及、用户频繁向AI助手倾诉个人事务的当下，此类数据泄露风险对个人隐私构成了严重威胁。