Una massiccia fuga di dati da Chess.com emerge su un forum di criminalità informatica

Un hacker ha pubblicato un database contenente 7,3 milioni di record di utenti di Chess.com su un forum di criminalità informatica e le conseguenze hanno rivelato qualcosa che la maggior parte dei giocatori non sapeva nemmeno esistesse: profili pubblicitari nascosti creati a partire dall'attività sulla piattaforma. Il file trapelato, secondo quanto riferito di circa 14,5 GB, include circa 4,6 milioni di indirizzi email insieme a informazioni dettagliate sui profili degli utenti legate a milioni di account della più grande piattaforma di scacchi online al mondo.

Ciò che rende questo episodio degno di nota non è solo la portata, ma il metodo. Le prime analisi indicano un'estrazione su larga scala tramite scraping piuttosto che una violazione diretta dei server, il che significa che gli aggressori hanno probabilmente raccolto dati pubblicamente accessibili o semi-pubblici in grandi quantità invece di sfruttare una vulnerabilità nei sistemi backend di Chess.com. Questa distinzione è importante per valutare quanto seriamente la piattaforma e i suoi utenti dovrebbero considerare l'esposizione, ma non rende meno reali le implicazioni per la privacy.

Quali dati sono stati effettivamente esposti

Secondo quanto riportato sulla fuga di dati, i record esposti includono indirizzi email, nomi utente e dettagli del profilo che Chess.com raccoglie come parte della normale attività dell'account. Ma la scoperta più preoccupante è la presenza di quelli che vengono descritti come profili pubblicitari nascosti: strutture di dati dietro le quinte che classificano gli utenti a fini pubblicitari in base alla loro attività sul sito.

Questa è la parte che la maggior parte dei giocatori non si aspetterebbe. Una piattaforma di scacchi che tiene traccia delle statistiche di gioco o dei livelli di abbonamento sembra ragionevole. Una piattaforma di scacchi che crea profili destinati agli inserzionisti e che finiscono coinvolti in un incidente di scraping è tutta un'altra storia. Solleva la stessa domanda che accompagna quasi ogni caso di esposizione di dati: quanto di ciò che una piattaforma raccoglie su di te era davvero necessario in primo luogo, e quanto esiste esclusivamente per monetizzare la tua presenza sul sito?

Questo schema non è esclusivo di Chess.com. Le fughe di dati che coinvolgono dati personali raccolti tramite scraping o aggregati hanno già colpito obiettivi di alto profilo, inclusa la fuga di dati del Tribeca Film Festival che ha esposto le informazioni di contatto di celebrità come Angelina Jolie e Robert De Niro. In entrambi i casi, dati che le persone ritenevano privati o di portata limitata hanno finito per circolare ben oltre il pubblico previsto.

Scraping contro violazione: perché la distinzione è importante

C'è un'importante differenza tecnica tra un hacker che irrompe nei server di un'azienda e un hacker che estrae tramite scraping dati già accessibili attraverso le normali funzionalità della piattaforma. Lo scraping in genere prevede l'uso di strumenti automatizzati per prelevare informazioni da pagine profilo pubbliche, API o altri endpoint esposti su larga scala, invece di sfruttare una falla di sicurezza per accedere a sistemi riservati.

Detto questo, gli incidenti di scraping causano comunque danni reali. Una volta che email, nomi utente e profili comportamentali vengono raccolti in un unico database consultabile e pubblicati, diventano utili per campagne di phishing, tentativi di credential stuffing e ingegneria sociale. Un dataset di 7,3 milioni di record offre ai malintenzionati un ampio elenco di obiettivi già pronto, anche se i dati sottostanti non sono stati ottenuti tramite un attacco informatico tradizionale.

L'esistenza di profili pubblicitari nascosti in questo dataset solleva anche interrogativi più ampi sulle pratiche di raccolta dati delle piattaforme online in generale, interrogativi che i regolatori in altri contesti hanno iniziato a prendere sul serio. Il dibattito in corso in Europa sulla proposta di Chat Control riflette la crescente tensione tra le pratiche sui dati delle piattaforme e le aspettative di privacy degli utenti, anche se quella normativa affronta una questione completamente diversa.

Cosa significa questo per te

Se hai un account Chess.com, considera questa vicenda come un invito a rivedere cosa hai condiviso e come è protetto, piuttosto che un motivo per farsi prendere dal panico. Inizia dalle basi: cambia la password di Chess.com se non l'hai fatto di recente e assicurati che sia unica invece di essere riutilizzata su altri account. Se il tuo indirizzo email faceva parte del dataset trapelato, fai attenzione a un aumento dei tentativi di phishing che fanno riferimento a contenuti legati agli scacchi, poiché i truffatori spesso adattano i messaggi alla piattaforma collegata alla fuga di dati.

Vale anche la pena rivedere le impostazioni sulla privacy del tuo account per limitare ciò che è pubblicamente visibile sul tuo profilo. Molte piattaforme, tra cui Chess.com, consentono agli utenti di limitare la visibilità di attività, statistiche e dettagli personali. Ridurre la tua impronta pubblica rende meno fruttuosi i futuri tentativi di scraping.

Per i lettori che vogliono limitare in primo luogo quanto della loro navigazione e attività sulle piattaforme viene tracciato, strumenti come DNS over HTTPS possono contribuire a ridurre la quantità di metadati visibili a terze parti, inclusi i provider di servizi internet, anche se non fermeranno i sistemi di tracciamento interni di una piattaforma.

Punti chiave

La fuga di dati di Chess.com è un promemoria del fatto che il rischio di esposizione dei dati non deriva solo da attacchi informatici sofisticati. A volte deriva da dati raccolti e strutturati a fini pubblicitari, poi estratti tramite scraping e riconfezionati da attori opportunistici. Aggiorna la password, attiva l'autenticazione a due fattori se disponibile, monitora i tentativi di phishing legati al tuo account di scacchi e dedica qualche minuto a verificare quali informazioni personali le tue piattaforme di gioco e hobby stanno effettivamente raccogliendo su di te. Piccoli passi come questi contribuiscono notevolmente a limitare i danni la prossima volta che emergerà una fuga di dati simile.