Chess.comのデータ漏洩、730万ユーザーが露呈、スクレイピングの証拠を示唆
Chess.com Leak Exposes 7.3M Users, Evidence Points to Scraping (securityaffairs.com)
要約
Chess.comの730万ユーザーのプロフィール情報を含むデータがオンラインで流出したことが確認されました。このデータは本物ですが、サーバー侵害ではなく、大規模なスクレイピングによって収集された証拠が示されています。漏洩データにはパスワードや支払い情報は含まれていませんが、メールアドレス、ユーザー名、氏名、国、レーティング、サブスクリプション情報などが含まれており、フィッシング攻撃に悪用される可能性があります。
全文翻訳
Chess.comのデータ漏洩で730万ユーザー情報が露呈 – 証拠はスクレイピングを示唆
［画像］
Chess.comの730万件のプロフィールがオンラインで漏洩：データは本物だが、証拠はサーバー侵害ではなく大規模なスクレイピングを示唆している。
盗まれたデータに無料という価格は奇妙であり、まさにこのリストが再検討に値する理由です。730万件以上のchess.comユーザー記録を含む15.5GBのファイルが今週、2つのデータ漏洩フォーラムに登場しました。料金も身代金要求もなく、ただ配布されただけです。Ransomnewsの技術分析は、データが本物で最近のものであることを確認しています。証拠によれば、これはハッキングではありません。
「アーカイブは単一の744MBの7-Zipファイルで、展開すると15.5GBのタブ区切りテーブルになります。ヘッダー行と7,337,395件のレコードがあり、それぞれ38のフィールドを持っています。スキーマは全体的にchess.com固有です。明白な識別子、メール、部分的なメール、ユーザー名、ユーザーID、UUID、名と姓、国、場所、ロケールに加えて、プラットフォームの状態が含まれています：チェスのタイトル、ポイント、スキルレベル、プレミアムステータスとラベル、検証とアクティベーションフラグ、最高レーティングとレーティングタイプ、公式レーティング、メンバーシップ開始日と最終ログインタイムスタンプ。」Ransomnewが公開したレポートにはこう書かれています。「末尾の2つのフィールドが興味深いものです。すべてのレコードでgam_audiencesとaudiences_member_ofが入力されており、Google Ad Managerのオーディエンスセグメント、コーチへのプッシュ実験グループ、トライアル適格性、休眠ユーザーコホート、レーティング帯ターゲティングなどの値が含まれています。これらはマーケティングスタックのフィールドであり、プロフィールデータではありません。これらはchess.comの公開APIには表示されません。」
ファイルには、メールアドレス、ユーザー名、実名、国、チェスレーティング、サブスクリプションティア、そしてさらに奇妙なものとして、chess.comの公開APIには決して表示されない、マーケティングセグメンテーションデータの一種である内部Google Ad Managerオーディエンスタグが含まれています。レコードのおよそ4分の3にメールアドレスが含まれています。パスワード、パスワードハッシュ、支払いデータはファイル内のどこにもありません。これは、影響を受けたユーザーがどの程度真剣に対応する必要があるかという点で非常に重要です。
このデータが本物であることを証明するために、chess.comのサーバーに一切触れる必要はありませんでした。ファイル内のすべてのユーザーUUIDはバージョン1識別子であり、生成された正確なタイムスタンプを埋め込むタイプです。研究者たちは、200,000件のサンプルレコードに埋め込まれたタイムスタンプをデコードし、各アカウントの登録日と比較しました。一致率は100%であり、これは実際のchess.com発行の識別子をミリ秒単位で保持していなければ偽造できないものです。
3つの別々の詳細が、実際のシステム侵害ではなくスクレイピングを示唆しています。データは一度にキャプチャされたのではなく、日次のバッチで9日間連続してスタンプされており、これは単一のデータベースダンプではなく、スケジュールされた収集ジョブのパターンです。ユーザーレコードの約7.4%が重複しており、異なる日に同じアカウントが再度記録されています。これは、実際のデータベースエクスポート内では決して起こらないことです。
これはchess.comにとって以前にも起こったことであり、当時、同社は率直にコメントしていました。2023年には、同様の828,000件のレコードの漏洩が、ほぼ同一のフィールド構造で発生し、chess.comは明確に述べました。
「2023年11月、脅威アクターがほぼ同一のフィールドセットを持つ828,000件のchess.comレコードを公開しました。当時のChess.comの対応は曖昧ではありませんでした。Hackreadに語ったように、「これはデータ侵害ではありませんでした。」とレポートは続いています。「当社のインフラストラクチャ、メンバーアカウント、パスワードなどのデータは安全です。」データは、プラットフォームの友達検索機能が悪用され、外部から提供されたメールアドレスを入力してアカウントと照合することで取得されていました。約476,000ユーザーに影響を与えた2番目のスクレイピングが続きました。この2026年のファイルは、ほぼ9倍の規模で同じ手法が実行されたものです。」
その以前のインシデントは、プラットフォームの友達検索機能が悪用され、外部メールリストを実際のアカウントと照合することで発生しました。この新しいファイルは、ほぼ9倍の規模で同じ手法が実行されたように見えます。
ただし、1つの詳細は、純粋に公開されているスクレイピングとは一致しません。広告オーディエンスセグメントデータは、chess.comの公開APIが公開しているものではなく、このファイルのすべての行に表示されています。これは、作成者が公開開発ツールだけでなく、認証された、または内部向けのエンドポイントにアクセスできたことを示唆しています。これは、chess.comが最もよく回答できる具体的な質問であり、どのようにしてこれが起こったかを理解するために重要なことです。
V0idixと名乗るファイルを配布しているアカウントは、何も収益化していません。同じハンドルは、他の無関係な企業にわたる数十件の無料データベースダンプを投稿しており、販売ではなく量を通じて評判を築いています。これは、新しい侵入へのアクセスを販売するのではなく、データを収集して再公開するコレクターに合致しています。
これらのどれも、パスワードが漏洩しなかったからといって、chess.comユーザーがこれを軽視すべきだという意味ではありません。実名、国、スキルレーティング、サブスクリプションティアの隣にある検証済みのメールアドレスは、メンバーシップ更新やフェアプレイ紛争に関する説得力のあるフィッシングメッセージを作成するための十分な素材となります。適切な対応は、アカウントがハッキングされたとパニックになることではなく、予期しないchess.comからのメールに通常よりも多くの疑いを持ち、同じメールアドレスが他のどこかで出現していないかを確認することです。なぜなら、再利用された認証情報は、この特定のファイルに含まれるものよりもはるかに危険な露出であり続けるからです。
Twitterでフォローしてください：@securityaffairs および Facebook および Mastodon
(SecurityAffairs – hacking, Chess.com)