Vazamento de dados de Chess

Quando o nome de usuário, o nome e o endereço de e-mail aparecem juntos, é possível associar um perfil do Chess.com a uma pessoa real. Já as informações de localização geográfica podem indicar o país ou a cidade do jogador. Esses campos não permitem, por si só, assumir o controle da conta, mas podem tornar mais convincentes mensagens falsas sobre torneios, assinaturas, contas premium, convites de amizade ou alertas de segurança.

Quando campos como nome, e-mail, telefone ou endereço aparecem juntos, invasores podem abordar o usuário como se já houvesse uma relação legítima de prestação de serviços. Essas informações, por si só, não comprovam que alguém assumiu o controle da conta, mas oferecem uma base sólida para mensagens falsas de suporte, notificações de entrega, tentativas de redefinição de senha e golpes personalizados. Como o registro não contém um campo de senha, não se deve dizer ao usuário que sua senha foi vazada. Ainda assim, se o mesmo endereço de e-mail aparecer associado a uma senha em outros vazamentos, invasores poderão usar o perfil do Chess para preparar mensagens mais personalizadas. O contexto da comunidade de jogos aumenta o risco de engenharia social.

A data do incidente está registrada como 8 de novembro de 2023. A abrangência atual é de 1.274.077 endereços de e-mail afetados; o número anterior, de 827.620, foi atualizado com a inclusão de registros adicionais. Registros de segurança indicam que os dados foram obtidos por meio de coleta automatizada no Chess.com e incluem campos de e-mail, nome, nome de usuário e localização.

Ao explicar a abrangência, é importante deixar claro que este incidente não é um vazamento de senhas ou informações de pagamento. Além disso, os campos de dados de perfil coletados automaticamente nem sempre têm a mesma qualidade. O alerta adequado ao usuário é que sua conta pode ser associada à sua identidade na comunidade de jogos e que o risco de mensagens direcionadas aumenta.

Estão em risco usuários que têm uma conta no Chess.com, exibem o nome de usuário e o nome no perfil, compartilham informações de localização ou abrem contas em outras plataformas de jogos com o mesmo endereço de e-mail. Jogadores competitivos, membros de clubes e participantes de torneios podem ser alvo de mensagens falsas de convite.

Pessoas que usam o mesmo nome de usuário em diferentes jogos, redes sociais ou fóruns correm o risco de ter seus perfis associados entre plataformas. Informações de localização podem fazer mensagens sobre torneios, clubes ou eventos locais parecerem mais reais. Os usuários devem ter cautela com mensagens que contenham alertas sobre a segurança da conta ou promessas de recompensas.

Os usuários cujos dados correspondem ao registro devem verificar se usam uma senha exclusiva na conta do Chess.com e também revisar as configurações de segurança de outras plataformas de jogos nas quais usam o mesmo e-mail e nome de usuário. Mesmo que o registro não contenha uma senha, deixar de reutilizar senhas é uma precaução adequada.

Em vez de abrir diretamente os links recebidos, o usuário deve fazer login pelo endereço conhecido do site ou pelo aplicativo do serviço correspondente. O fato de alguém que entra em contato saber o nome, o e-mail, o endereço ou informações sobre transações anteriores não comprova que essa pessoa seja confiável. Códigos de verificação de uso único, informações de cartões de pagamento ou senhas de contas não devem ser compartilhados em nenhuma conversa de suporte.

A longo prazo, o uso de um gerenciador de senhas, senhas exclusivas, autenticação de dois fatores nas contas que oferecem esse recurso e o hábito de remover informações pessoais desnecessárias das contas reduzem o risco. Reutilizar o mesmo endereço de e-mail em diferentes plataformas facilita o cruzamento de dados de diferentes vazamentos; por isso, vale considerar o uso de endereços de e-mail separados ou aliases de e-mail para contas críticas.

Como um nome de usuário pode se tornar uma identidade permanente nas comunidades de jogos, o uso do mesmo nome de usuário em diferentes plataformas deve ser avaliado com cuidado. Se o perfil contiver informações desnecessárias sobre nome real ou localização, elas devem ser reduzidas. Mensagens de clubes e torneios devem ser verificadas na plataforma oficial.

A consulta no LeakData mostra se o endereço de e-mail pesquisado está presente neste registro. Um resultado positivo não significa necessariamente que todos os campos de dados pertençam, de forma definitiva, àquele usuário, mas deve ser considerado um alerta suficiente para a adoção de medidas preventivas. Um resultado negativo indica apenas que não há correspondência neste conjunto de dados e não elimina a possibilidade de o endereço aparecer em outros vazamentos.

Um resultado positivo indica uma correspondência entre as informações do perfil do Chess.com e o endereço de e-mail, o que aumenta o risco de phishing com temática de jogos. Um resultado negativo significa que não há correspondência neste registro; também deve ser verificada a possibilidade de o mesmo e-mail do jogador aparecer em outras plataformas de jogos.