Chess.comから730万件のユーザーデータが流出、しかしその手口は「ハッキング」ではなかった
Chess.com Leak Exposes 7.3M Users, Evidence Points to Scraping
15.5GBのファイルに730万件を超えるChess.comのユーザーレコードが含まれ、無償で公開された。Ransomnewsの分析によればデータは本物で最新のものだが、サーバー侵害ではなく大規模なスクレイピングの証拠が揃っている。UUIDのタイムスタンプと登録日が100%一致し、9日間にわたる日次バッチ収集や重複レコードの存在が確認された。パスワードや決済情報は含まれていないが、メールアドレスと実名、国、レーティング、購読プランが揃っており、フィッシング攻撃の材料になり得る。
「2023年11月、脅威アクターが828,000件のChess.comレコードをほぼ同一のフィールド構成で公開した。当時のChess.comの対応は明確だった。『これはデータ侵害ではなかった。我々のインフラ、メンバーアカウント、パスワードなどのデータは安全だ』とHackreadに語っている。データはプラットフォームのfind-friends機能を悪用し、外部から入手したメールアドレスをアカウントに照合して引き出されたものだった。その後、約476,000ユーザーに影響する2回目のスクレイピングが続いた。この2026年のファイルは、同じ手法が約9倍の規模で行われたものだ。」
HNでの議論
24- Shank
> すべてのレコードにはgam_audiencesとaudiences_member_ofが設定されており、Google Ad Managerのオーディエンスセグメントで、coach-nudge実験グループ、トライアル適格性、離脱ユーザーコホート、レーティングバンドターゲティングといった値が入っている。
どうも証拠はスクレイピングを指していないように思えるんだが。
- sidrag22
> データはプラットフォームのfind-friends機能を悪用して引き出された
find-friends機能は、「友達」が承認しない限り、そのデータの大部分へのアクセスを許可すべきではないように思える。スクレイパーがメールにアクセスできたからといって、700万人の承認を得たわけではないだろう…。私に言わせればこれは100%侵害だ。ましてや何年も前に70万件で既に一度起きていて、防止のために何も変えていないのだからなおさらだ。
- dwroberts
これは8月に報告されていたもので、新しい話ではないと指摘しておく価値がある