Chess.com 730万用户数据泄露，疑为爬取
Chess.com Leak Exposes 7.3M Users, Evidence Points to Scraping
近期，一个包含730万 Chess.com 用户记录的15.5 GB文件在暗网论坛免费流出。技术分析显示，数据真实且包含用户名、邮箱、等级及内部 Google Ad Manager 广告标签，但无密码或支付信息。证据指向这是通过滥用平台功能进行的长期大规模数据爬取，而非服务器被入侵。这与2023年发生的类似事件手法一致，只是规模扩大了九倍。虽然未涉及核心凭证，但泄露的详细信息足以让攻击者发起高仿真的钓鱼攻击，用户需对 Chess.com 的邮件保持警惕。
免费是窃取数据的奇怪价格，而这正是这份数据值得再次审视的原因。
HN 评论区
24- Shank
> 每条记录都填满了 gam_audiences 和 audiences_member_of 字段，这些是 Google Ad Manager 的受众细分数据，包含诸如 coach-nudge 实验组、试用资格、流失用户群组以及评级区间定向等值。
在我看来，证据显然并不指向爬虫抓取。
- sidrag22
> 数据是通过滥用平台的 find-friends 功能被拉取的
听起来 find-friends 功能本不该允许访问大部分数据，除非“好友”接受了对方的请求。我不认为那个“爬虫”仅仅因为拥有邮箱就能获得 700 万次接受。在我看来，这百分之百是一次数据泄露，更何况几年前他们就已经发生过一次涉及 70 万用户的事件，却没有任何改进来防止此类情况再次发生。
- nilslindemann
我刚登录去删除我的 chess.com 账号，却收到一条消息：“此账号已关闭，请使用您的邮箱重新激活”。他们对此前被黑客攻击一事只字未提。