Piratage OnlyFans : 340 millions de comptes ont été compromis, qui est concerné ?

Depuis le 25 mai 2026, une base de 340 millions de comptes OnlyFans est en vente. Un pirate la propose sur un forum cybercriminel pour 0,313 bitcoin, soit environ 76 000 dollars. Le vendeur Euphoric_Reply_5727 présente sa publication comme un vol des serveurs internes d’OnlyFans. La plateforme dément et qualifie ces informations de fausses.

Sauf que voilà, le vendeur a changé de version. Sur Telegram, le pirate admet ne pas avoir piraté OnlyFans. « Nous n’avons pas piraté OnlyFans, nous avons utilisé des bases de fuites existantes et recoupé avec les utilisateurs de la plateforme », explique le vendeur au média Hackread. En clair, il n’y a pas eu d’intrusion dans les serveurs d’OnlyFans. La base est un assemblage de vieilles fuites recoupées avec des profils publics.

Un pirate aurait volé ces données OnlyFans, la plateforme dément

Il s’agit donc d’une compilation construite à partir de piratages antérieurs qui ont visé X, Instagram et Spotify, mais aussi de données accessibles publiquement. Le vendeur a recoupé ces informations pour reconstituer des fiches associées à des comptes OnlyFans.

Chaque fiche contiendrait le nom d’utilisateur, le nom, l’adresse mail, le numéro de téléphone, le nombre d’abonnés, les statistiques de contenu publié et les profils sociaux associés. La France connaît une vague de fuites comparables, comme le piratage de SFR et ses 730 millions de données compromises issues elles aussi de plusieurs piratages recoupés.

Plusieurs indices fragilisent la version du vendeur. Les chercheurs de Cybernews n’ont trouvé que dix échantillons joints à l’annonce. « Sur la seule base de cet échantillon, nous ne pouvons pas confirmer la taille véritable de la base », indiquent les chercheurs.

Un piratage qui reste dangereux pour les concernés

Le chiffre de 340 millions reste invérifiable. Et pour cause, il proviendrait d’une vieille liste marketing d’une société de mise en relation d’influenceurs, Influencers.club, et pas d’un vol de serveur. Les fiches comportent aussi des valeurs vides et des champs incomplets, loin du format d’une base de production.

Résultat, la fiabilité de la base est invérifiable, mais le danger pour les utilisateurs reste là. Hackread a vérifié que dix identifiants de l’échantillon correspondaient à de vrais comptes OnlyFans publics. En revanche, les adresses mail associées n’ont pas pu être confirmées. Le champ appelé « card » qui est censé contenir les quatre derniers chiffres d’une carte bancaire, n’a pas non plus été authentifié.

Le recoupement entre noms, mails, numéros de téléphone et comptes sociaux suffit à exposer créateurs et abonnés au hameçonnage, au chantage et à l’usurpation d’identité. Ce risque de hameçonnage frappe toutes les victimes de fuites, comme les 12 millions de salariés touchés par le piratage de l’Urssaf début 2026. Les créateurs OnlyFans misent sur l’anonymat, et ce recoupement le détruit.

Le recoupement, la nouvelle arme des pirates

Mais ce n’est pas tout puisque l’affaire OnlyFans montre une tendance de fond chez les cybercriminels. La valeur ne vient plus des mots de passe volés, mais du recoupement entre identités numériques et celles dans la vraie vie.

Les pirates utilisent souvent ces fausses annonces de fuite pour pousser les internautes à télécharger des outils de vérification piégés, comme préviennent certains experts. Pour les utilisateurs d’OnlyFans, la réponse reste simple. Il faut changer son mot de passe sans attendre, activer la double authentification sur le compte et se méfier de tout mail qui pousse à vérifier en urgence une prétendue fuite.

Source : Hackread