Chess.com 泄密暴露了 730 万用户，证据指向抄袭

Chess.com 泄露暴露了 730 万用户——有证据表明皮尔路易吉·帕格尼尼 (Pierluigi Paganini) 被盗 2026 年 8 月 14 日，730 万个 Chess.com 个人资料在网上泄露：数据是真实的，但有证据表明是大规模盗取，而不是服务器泄露。对于被盗数据来说，免费是一个奇怪的价格，而这正是该列表值得重新审视的原因。本周，两个数据泄露论坛上出现了一份包含超过 730 万条 chess.com 用户记录的 15.5 GB 文件，免费、无赎金，就这么分发了。 Ransomne​​ws 的技术分析证实了这些数据是真实且最新的。从证据来看，这不是黑客攻击。 “该存档是一个 744 MB 7-Zip 文件，可扩展为一个 15.5 GB 制表符分隔的表：一个标题行和 7,337,395 条记录，每条记录有 38 个字段。该架构自始至终都是 chess.com 特定的。除了明显的标识符、电子邮件、部分电子邮件、用户名、用户 ID、UUID、名字和姓氏、国家/地区、位置和区域设置外，它还包含平台状态：国际象棋标题、分数、技能水平、高级状态和标签、验证和激活标志、最佳评级和评级类型、官方评级、会员以来和上次登录时间戳。” Ransomne​​w 发布的报告中写道。 “最后有两个字段很有趣。每条记录都有 gam_audiences 和 Audiences_member_of 填充的 Google Ad Manager 受众群体，其值包括指导实验组、试验资格、流失用户群组和评级范围定位等。这些是营销堆栈字段，而不是个人资料数据。它们不会出现在 chess.com 的公共 API 中。”该文件包含电子邮件地址、用户名、真实姓名、国家/地区、国际象棋评级、订阅级别，以及一些更奇怪的内容：Google Ad Manager 内部受众标签，这种营销细分数据永远不会出现在 chess.com 的公共 API 中。大约四分之三的记录包含电子邮件地址。文件中的任何位置都没有密码，没有密码哈希值，也没有支付数据，这对于受影响严重的用户需要做出反应非常重要。证明这些数据的真实性根本不需要接触 chess.com 的服务器。文件中的每个帐户 UUID 都是版本 1 标识符，这种标识符嵌入了生成的确切时间戳，研究人员对 200,000 个样本记录中的隐藏时间戳进行了解码，以将其与每个帐户的注册日期进行比较。匹配率回到了 100%，如果不拥有 chess.com 发布的精确到毫秒的实际标识符，任何人都无法伪造这一结果。三个独立的细节指向数据抓取，而不是实际的系统漏洞。数据不是一瞬间捕获的，而是连续九天按每日批次进行标记，这是计划收集作业的模式，而不是单个数据库转储的模式。大约 7.4% 的用户记录出现两次，即在不同日期重新访问相同的帐户，这在真正的数据库导出中根本不会发生。 chess.com 此前也曾发生过这种情况，该公司当时对此也直言不讳。早在 2023 年，类似的 828,000 条记录泄露事件就出现了，其字段结构几乎相同，chess.com 明确表示，“2023 年 11 月，一名威胁行为者发布了 828,000 条具有几乎相同字段集的 chess.com 记录。Chess.com 当时的回应是明确的：正如它告诉 Hackread 的那样，“这不是数据泄露。”报告继续。 “我们的基础设施、会员帐户和密码等数据都是安全的。”这些数据是通过滥用平台的查找朋友功能、输入外部来源的电子邮件地址来根据帐户解析数据而提取的。随后发生了第二次刮擦事件，影响了大约 476,000 名用户。这个 2026 年的文件采用了相同的技术，但规模大约是原来的九倍。”早些时候的事件是由于滥用该平台的查找朋友功能来解析外部电子邮件列表与真实帐户的关系；这个新文件看起来像是以大约九倍的规模运行的相同技术。不过，有一个细节并不适合纯粹面向公众的刮擦。广告受众群体数据不是 chess.com 的开放 API 公开的内容，它出现在该文件的每一行中，这表明构建该数据的任何人都可以访问经过身份验证或面向内部的端点，而不仅仅是公共开发人员工具。这是 chess.com 最有能力回答的具体问题，也是理解这一事件是如何发生的真正重要的问题。分发该文件的帐户（名为 V0idix）在这里没有任何货币化。同一个处理者在其他不相关的公司发布了数十个免费数据库转储，通过数量而不是销售来建立声誉，这适合收集和重新发布数据的收集者，而不是出售新入侵访问权限的人。这并不意味着 chess.com 用户应该仅仅因为密码没有暴露而对此不屑一顾。真实姓名、国家/地区、技能等级和订阅级别旁边的经过验证的电子邮件对于令人信服的 phi 来说是足够的原材料