Chess.comのデータ漏洩、730万ユーザーが露呈、スクレイピングの証拠を示唆

Chess.comの730万ユーザーのプロフィール情報を含むデータがオンラインで流出したことが確認されました。このデータは本物ですが、サーバー侵害ではなく、大規模なスクレイピングによって収集された証拠が示されています。 無料であることは盗まれたデータに対する奇妙な価格であり、このリストが再検討に値する理由です。730万以上のchess.comユーザーレコードを含む15.5 GBのファイルが、今週、2つのデータ漏洩フォーラムに、費用も身代金要求もなく、ただ配布されました。Ransomnewsの技術分析は、データが本物であり最近のものであることを確認しています。証拠によれば、これはハッキングではありません。 レポートによると、「アーカイブは単一の744 MBの7-Zipファイルで、15.5 GBのタブ区切りテーブルに展開されます。ヘッダー行が1つと7,337,395のレコードがあり、各レコードには38のフィールドがあります。スキーマは全体的にchess.com固有です。明白な識別子、メール、部分的なメール、ユーザー名、ユーザーID、UUID、名と姓、国、場所、ロケールに加えて、プラットフォームの状態が含まれています：チェスタイトル、ポイント、スキルレベル、プレミアムステータスとラベル、検証とアクティベーションフラグ、ベストレーティングとレーティングタイプ、公式レーティング、メンバーシップ開始と最終ログインのタイムスタンプ。」 「末尾の2つのフィールドが興味深いものです。すべてのレコードにgam_audiencesとaudiences_member_ofが設定されており、Google Ad Managerのオーディエンスセグメントで、コーチへのプッシュ実験グループ、トライアル適格性、離脱ユーザーコホート、レーティングバンドターゲティングなどの値が含まれています。これらはマーケティングスタックのフィールドであり、プロファイルデータではありません。これらはchess.comの公開APIには表示されません。」 ファイルには、メールアドレス、ユーザー名、実名、国、チェスレーティング、サブスクリプションティア、そしてさらに奇妙なものとして、chess.comの公開APIでは決して公開されない、Google Ad Managerの内部オーディエンスタグ、つまりマーケティングセグメンテーションデータが含まれています。レコードのおよそ4分の3にはメールアドレスが含まれています。ファイルにはパスワード、パスワードハッシュ、支払いデータは一切含まれていません。これは、影響を受けたユーザーがどの程度真剣に対応する必要があるかにおいて、非常に重要です。 このデータが本物であることを証明するために、chess.comのサーバーに一切触れる必要はありませんでした。ファイル内のすべてのアカウントUUIDはバージョン1識別子であり、生成された正確なタイムスタンプを埋め込むタイプです。研究者は、200,000サンプルのレコードで隠されたタイムスタンプをデコードし、各アカウントの登録日と比較しました。一致率は100%でした。これは、ミリ秒単位の実際のchess.com発行識別子を所有していない限り、誰も偽造できないものです。 3つの別々の詳細が、実際のシステム侵害ではなく、スクレイピングを示唆しています。データは一度にキャプチャされたのではなく、9日間にわたる日次バッチでスタンプされており、これは単一のデータベースダンプではなく、スケジュールされた収集ジョブのパターンです。ユーザーレコードの約7.4%が重複しており、異なる日に同じアカウントが再度アクセスされています。これは、実際のデータベースエクスポート内では決して起こらないことです。 これは以前にもchess.comで発生しており、同社はその当時率直でした。2023年には、同様の828,000レコードの漏洩がほぼ同一のフィールド構造で表面化し、chess.comは明確に述べました。「2023年11月に、脅威アクターがほぼ同一のフィールドセットを持つ828,000のchess.comレコードを公開しました。当時のchess.comの対応は曖昧ではありませんでした。Hackreadに伝えたように、『これはデータ侵害ではありませんでした』とレポートは続いています。『当社のインフラストラクチャ、メンバーアカウント、およびパスワードなどのデータは安全です。』」 そのデータは、プラットフォームの友達検索機能（find-friends feature）を悪用し、外部から提供されたメールアドレスを入力してアカウントと照合することで取得されていました。約476,000ユーザーに影響する2番目のスクレイピングが続きました。この2026年のファイルは、ほぼ9倍の規模で同じ手法が実行されたものです。 ただし、1つの詳細が純粋に公開されているスクレイピングには適合しません。広告オーディエンスセグメントデータは、chess.comのオープンAPIが公開しているものではなく、このファイル内のすべての行に表示されています。これは、これを作成した者が、公開されている開発ツールだけでなく、認証された、または内部向けのエンドポイントにアクセスしていたことを示唆しています。これはchess.comが最もよく回答できる具体的な質問であり、これがどのように起こったかを理解するために実際に重要なことです。 ファイルを配布しているアカウント、V0idixというハンドルネームの人物は、ここでは何も収益化していません。同じハンドルネームは、他の無関係な企業に対しても数十件の無料データベースダンプを投稿しており、販売ではなく量を通じて評判を築いています。これは、侵入へのアクセスを販売するのではなく、データを収集して再公開するコレクターに合致しています。 これらのどれも、パスワードが漏洩しなかったからといって、chess.comユーザーがこれを軽視すべきだという意味ではありません。実名、国、スキルレーティング、サブスクリプションティアの隣にある検証済みのメールアドレスは、メンバーシップ更新やフェアプレー論争に関する説得力のあるフィッシングメッセージを作成するための十分な素材となります。適切な対応は、ハッキングされたアカウントについてパニックになることではなく、予期しないchess.comからのメールを通常よりも疑って扱い、同じメールアドレスが他のどこかで出現していないか確認することです。再利用された認証情報は、この特定のファイルに含まれるものよりもはるかに危険な露出であるためです。