Утечка данных Chess

Сочетание имени пользователя, имени и адреса электронной почты позволяет связать профиль Chess.com с реальным человеком. Сведения о географическом местоположении, в свою очередь, могут указывать на страну или город игрока. Эти поля сами по себе не дают прямого доступа к аккаунту, однако могут сделать более убедительными поддельные сообщения о турнирах, членстве, премиум-аккаунтах, приглашениях в друзья или угрозах безопасности.

Когда такие данные, как имя, адрес электронной почты, телефон или адрес, оказываются вместе, злоумышленники могут обращаться к пользователю, выдавая своё обращение за часть обычного обслуживания. Сами по себе эти сведения не доказывают захват аккаунта, но дают хорошую основу для поддельных сообщений службы поддержки, уведомлений о доставке, попыток сброса пароля и персонализированных мошеннических схем. Поскольку в записи нет поля с паролем, нельзя сообщать пользователю, что его пароль утёк. Тем не менее, если тот же адрес электронной почты встречается вместе с паролем в других утечках, злоумышленники могут использовать профиль Chess для подготовки более персонализированных сообщений. Принадлежность к игровому сообществу повышает риск социальной инженерии.

Датой инцидента указано 8 ноября 2023 года. На данный момент он затрагивает 1 274 077 адресов электронной почты; прежнее число, 827 620, было обновлено после добавления новых записей. В материалах по безопасности указано, что данные были получены путём автоматизированного сбора с Chess.com и содержат поля с адресом электронной почты, именем, именем пользователя и местоположением.

При описании масштаба необходимо ясно указывать, что этот инцидент не является утечкой паролей или платёжной информации. Кроме того, качество полей в автоматически собранных данных профилей может различаться. Пользователя следует предупредить о том, что его аккаунт можно связать с его личностью в игровом сообществе и что повышается риск получения адресных сообщений.

В зоне риска находятся пользователи, у которых есть аккаунт Chess.com, которые указывают в профиле имя пользователя и своё имя, делятся сведениями о местоположении или создают аккаунты на других игровых платформах с тем же адресом электронной почты. Игроки, участвующие в соревнованиях, члены клубов и участники турниров могут стать мишенями поддельных приглашений.

Для людей, использующих одно и то же имя пользователя в разных играх, социальных сетях или на форумах, существует риск сопоставления профилей между платформами. Сведения о местоположении могут сделать сообщения о местных турнирах, клубах или мероприятиях более правдоподобными. Пользователям следует с осторожностью относиться к сообщениям с предупреждениями о безопасности аккаунтов или обещаниями наград.

Пользователям, для которых обнаружено совпадение с этой записью, следует убедиться, что в аккаунте Chess.com используется уникальный пароль, а также проверить настройки безопасности на других игровых платформах, где они используют те же адрес электронной почты и имя пользователя. Даже если пароля нет в записи, отказ от повторного использования паролей, разумная мера предосторожности.

Вместо того чтобы сразу открывать ссылки из входящих сообщений, пользователю следует входить в соответствующий сервис через известный ему веб-адрес или приложение. То, что звонящий знает имя, адрес электронной почты, адрес проживания или сведения о прошлых операциях, не доказывает его надёжность. При любом общении со службой поддержки нельзя сообщать одноразовые коды подтверждения, данные платёжных карт или пароли от аккаунтов.

В долгосрочной перспективе риск снижают менеджер паролей, уникальные пароли, двухфакторная аутентификация в аккаунтах, где она доступна, и привычка удалять из аккаунтов ненужные персональные сведения. Использование одного адреса электронной почты на разных платформах упрощает объединение данных из разных утечек. Поэтому для важных аккаунтов можно рассмотреть использование отдельных адресов электронной почты или адресов-псевдонимов.

Поскольку имя пользователя может стать постоянным идентификатором в игровых сообществах, стоит тщательно обдумать, нужно ли использовать одно и то же имя на разных платформах. Если в профиле без необходимости указаны настоящее имя или местоположение, объём этих сведений следует сократить. Сообщения от клубов и о турнирах нужно проверять на официальной платформе.

Проверка LeakData показывает, присутствует ли проверяемый адрес электронной почты в этой записи. Положительный результат не обязательно означает, что все поля данных достоверно относятся к этому пользователю, однако его следует считать достаточным сигналом для принятия мер предосторожности. Отрицательный результат означает лишь отсутствие совпадения в этом наборе данных и не исключает присутствия адреса в других утечках.

Положительный результат указывает на совпадение сведений профиля Chess.com с адресом электронной почты и на повышенный риск фишинга на игровую тематику. Отрицательный результат означает, что в этой записи совпадение не найдено; следует также проверить, не встречается ли тот же адрес электронной почты игрока на других игровых платформах.