Chess.com泄露事件暴露730万用户，证据指向数据抓取

# Chess.com 泄露事件影响730万用户——证据指向大规模网页抓取 来源：https://securityaffairs.com/197174/breaking-news/chess-com-leak-exposes-7-3-million-users-evidence-points-to-scraping.html ## 730万Chess.com用户资料在线泄露：数据真实，但证据指向大规模网页抓取而非服务器入侵 "免费"是被盗数据一个奇怪的定价，这也正是这份数据列表值得仔细审视的原因。本周，一个包含超过730万Chess.com用户记录、大小为15.5 GB的文件出现在两个数据泄露论坛上，没有费用，没有勒索要求，就这么被免费分发。Ransomnews的技术分析（https://ransomnews.com/chess-com-leak-7-million-2026/）证实数据是真实的且是近期的。但现有证据表明，这并非黑客入侵所致。 [图片](https://i0.wp.com/securityaffairs.com/wp-content/uploads/2026/08/image-36.png?ssl=1) *"该存档是一个单独的744 MB 7-Zip文件，解压后成为一个15.5 GB的制表符分隔表格：一个标题行和7,337,395条记录，每条记录包含38个字段。整个架构都具有Chess.com的特定性。除了明显的标识符——电子邮件、部分电子邮件、用户名、用户ID、UUID、名字和姓氏、国家、地点和区域设置——它还包含平台状态：象棋头衔、积分、技能等级、高级会员状态和标签、验证和激活标志、最佳评分和评分类型、官方评分、注册日期和最后登录时间戳。"*Ransomnews发布的报告（https://ransomnews.com/chess-com-leak-7-million-2026/）中写道。*"最后的两个字段很有意思。每条记录都填充了`gam_audiences`和`audiences_member_of`，这是Google Ad Manager的受众细分，值包括教练提醒实验组、试用资格、流失用户群体和评分区间定向。这些是营销技术字段，而非用户资料数据。它们并未出现在Chess.com的公开API中。"* 该文件包含电子邮件地址、用户名、真实姓名、国家、象棋评分、订阅层级，以及更特殊的东西：内部的Google Ad Manager受众标签，这类营销细分数据通常不会在Chess.com的公开API中出现。大约四分之三的记录包含电子邮件地址。文件中没有任何密码、密码哈希或支付数据，这一点对于受影响用户需要做出多大程度的反应至关重要。 证明这些数据的真实性完全无需触及Chess.com的服务器。文件中的每个账户UUID都是版本1标识符，这种标识符嵌入了生成的精确时间戳，研究人员解码了20万条样本记录中的隐藏时间戳，并将其与每个账户的注册日期进行比较。匹配率达到了100%，除非拥有精确到毫秒的Chess.com实际签发标识符，否则无人能伪造。 三个独立的细节表明这是网页抓取而非实际的系统入侵。这些数据并非在某个瞬间被捕获，其时间戳跨越了连续九天，按天分批，这是定时采集任务的模式，而非一次性数据库转储。大约7.4%的用户记录出现了两次，即相同账户在不同日期被重复访问，这在真正的数据库导出中根本不会发生。 Chess.com此前曾遭遇过类似事件，当时公司对此态度明确。早在2023年，一份包含82.8万条记录的类似泄露出现，字段结构几乎完全相同，Chess.com当时明确表示： *"2023年11月，一个威胁行为者发布了82.8万条Chess.com记录，字段集几乎完全相同。"报告继续写道。"Chess.com当时的回应毫不含糊：正如其告诉Hackread（https://hackread.com/hacker-leaks-scraped-chess-com-user-records/）的那样，'这不是数据泄露。'我们的基础设施、会员账户和数据（如密码）都是安全的。"数据是通过滥用该平台的"查找好友"功能获取的，该功能允许输入外部来源的电子邮件地址来解析对应账户。随后又发生了涉及约47.6万用户的第二次抓取。"此次2026年的文件采用了相同的技术，规模大约是之前的九倍。"* 那起早期事件源于滥用平台的"查找好友"功能，将外部电子邮件列表与真实账户进行解析匹配；而这份新文件看起来是相同技术的大约九倍规模的应用。 不过，有一个细节不完全符合纯粹的公开接口抓取。广告受众细分数据并非Chess.com开放API所公开的内容，但它出现在此文件的每一行中，这表明构建此数据的人可能访问了经过身份验证的或内部端点，而不仅仅是公共开发者工具。这正是Chess.com最适合回答的具体问题，也是理解此事如何发生的关键所在。 分发该文件的账户名为V0idix，此人在此次事件中并未牟利。该账户还在其他无关公司发布了数十个免费数据库转储，通过数量而非销售来建立声誉，这符合一个收集并重新发布数据的收藏者特征，而非出售新鲜入侵访问权限的人。 所有这些并不意味着Chess.com用户可以仅因为密码未被暴露就对此掉以轻心。一个经过验证的电子邮件地址旁附有真实姓名、国家、技能评分和订阅层级，这已经足以构成制作逼真钓鱼邮件的原材料，诱骗内容可能是关于会员续费或公平竞赛争议。正确的反应不是对账户被黑感到恐慌，而是对意外的Chess.com邮件保持比平时更高的警惕，并检查该电子邮件地址是否已出现在其他地方，因为重复使用的凭据仍然是比这份特定文件中的任何内容都危险得多的风险暴露点。 **在Twitter上关注我：****@securityaffairs** (https://twitter.com/securityaffairs)**，以及****Facebook** (https://www.facebook.com/sec.affairs)**和****Mastodon** (https://infosec.exchange/@securityaffairs) **Pierluigi Paganini** (http://www.linkedin.com/pub/pierluigi-paganini/b/742/559) **（****SecurityAffairs** (http://securityaffairs.co/wordpress/) **—— 黑客攻击, Chess.com）** ---