Fuite de données chez Chess

La présence conjointe du nom d’utilisateur, du nom et de l’adresse e-mail peut permettre de relier un profil Chess.com à une personne réelle. Les informations de localisation géographique peuvent, quant à elles, renseigner sur le pays ou la ville du joueur. Ces champs ne permettent pas directement de prendre le contrôle d’un compte; ils peuvent toutefois rendre plus crédibles de faux messages concernant des tournois, des adhésions, des comptes premium, des invitations d’amis ou des alertes de sécurité.

Lorsque des champs tels que le nom, l’adresse e-mail, le numéro de téléphone ou l’adresse sont réunis, des attaquants peuvent contacter l’utilisateur en prétendant entretenir avec lui une relation de service légitime. Ces informations ne prouvent pas à elles seules qu’un compte a été compromis; elles constituent toutefois un point de départ solide pour de faux messages d’assistance, des notifications de livraison, des tentatives de réinitialisation de mot de passe et des scénarios de fraude personnalisés. Puisque ces fiches ne contiennent pas de champ de mot de passe, il ne faut pas affirmer à l’utilisateur que son mot de passe a été divulgué. Néanmoins, si la même adresse e-mail apparaît avec un mot de passe dans d’autres fuites, les attaquants peuvent s’appuyer sur le profil Chess pour préparer des messages plus personnalisés. Le contexte de la communauté de joueurs accroît le risque d’ingénierie sociale.

La date de l’incident est consignée comme étant le 8 novembre 2023. Le périmètre actuel couvre 1 274 077 adresses e-mail concernées; le chiffre précédent de 827 620 a été mis à jour après l’ajout de fiches supplémentaires. Les informations de sécurité consignées indiquent que les données ont été obtenues par une méthode de collecte automatisée sur Chess.com et comprennent les champs adresse e-mail, nom, nom d’utilisateur et localisation.

Lors de la présentation du périmètre, il convient de préciser que cet incident ne constitue pas une fuite de mots de passe ou d’informations de paiement. Par ailleurs, la qualité des champs peut varier dans les données de profil collectées automatiquement. L’avertissement à transmettre à l’utilisateur est que son compte peut être relié à son identité au sein de la communauté de joueurs et que le risque de messages ciblés augmente.

Les utilisateurs à risque sont ceux qui possèdent un compte Chess.com, affichent leur nom d’utilisateur et leur nom sur leur profil, partagent des informations de localisation ou ouvrent des comptes sur d’autres plateformes de jeu avec la même adresse e-mail. Les joueurs de compétition, les membres de clubs et les participants à des tournois peuvent être ciblés par de faux messages d’invitation.

Les personnes qui utilisent le même nom d’utilisateur dans différents jeux, sur les réseaux sociaux ou sur des forums risquent de voir leurs profils reliés entre eux. Les informations de localisation peuvent rendre plus crédibles les messages concernant des tournois, des clubs ou des événements locaux. Les utilisateurs doivent se méfier des messages contenant des alertes relatives à la sécurité des comptes ou des promesses de récompense.

Les utilisateurs concernés par une correspondance doivent vérifier qu’ils utilisent un mot de passe unique pour leur compte Chess.com. Ils doivent également examiner les paramètres de sécurité des autres plateformes de jeu sur lesquelles ils utilisent la même adresse e-mail et le même nom d’utilisateur. Même si les fiches ne contiennent pas de mot de passe, cesser de réutiliser les mêmes mots de passe reste une précaution appropriée.

Au lieu d’ouvrir directement les liens reçus, l’utilisateur doit se connecter au service concerné en passant par son adresse web connue ou son application. Le fait qu’un interlocuteur connaisse le nom, l’adresse e-mail, l’adresse ou des informations sur des transactions passées ne prouve pas qu’il est digne de confiance. Les codes de vérification à usage unique, les informations de carte de paiement et les mots de passe de compte ne doivent jamais être communiqués lors d’un échange avec un service d’assistance.

À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs sur les comptes qui la permettent, ainsi que l’habitude de supprimer les informations personnelles inutiles des comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; il peut donc être utile d’envisager des adresses e-mail distinctes ou des alias pour les comptes critiques.

Un nom d’utilisateur peut devenir une identité durable au sein des communautés de joueurs. Il convient donc de bien réfléchir avant d’utiliser le même sur différentes plateformes. Si le profil contient un nom réel ou des informations de localisation qui ne sont pas nécessaires, ces données doivent être limitées. Les messages concernant les clubs et les tournois doivent être vérifiés sur la plateforme officielle.

La vérification LeakData indique si l’adresse e-mail recherchée figure ou non dans cet ensemble de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il doit toutefois être considéré comme un avertissement suffisant pour prendre des précautions. Un résultat négatif indique uniquement l’absence de correspondance dans cet ensemble de données et n’exclut pas une présence dans d’autres fuites.

Un résultat positif indique que les informations du profil Chess.com correspondent à l’adresse e-mail et que le risque d’hameçonnage sur le thème du jeu augmente. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans cet ensemble de données; il convient également de vérifier si la même adresse e-mail du joueur apparaît sur d’autres plateformes de jeu.