Description du fichier

Le fichier publié sur deux forums de fuite comporte une archive 7‑Zip de 744 Mo qui, une fois décompressée, génère un tableau tabulé de 15,5 Go. Il contient exactement 7 337 395 lignes, chacune avec 38 champs spécifiques à Chess.com : identifiants (email, username, user_id, UUID), informations personnelles (prénom, nom, pays, localisation), données de jeu (titre, points, niveau, meilleur classement) et deux colonnes d’audience Google Ad Manager (gam_audiences et audiences_member_of). 

email	partial_email	username	user_id	uuid	first_name	last_name	country	location	locale	chess_title	points	skill_level	premium_status	label	verification_flag	activation_flag	best_rating	rating_type	official_rating	member_since	last_login	gam_audiences	audiences_member_of

Analyse des indicateurs d’origine

Chaque UUID est de version 1, ce qui intègre un horodatage milliseconde‑précis. En décodant 200 000 UUID, les chercheurs ont retrouvé une correspondance de 100 % avec les dates d’inscription publiques, confirmant l’authenticité des identifiants. La présence d’emails dans près de 75 % des enregistrements, mais l’absence totale de mots de passe, de hachages ou de données de paiement, indique que la source n’a jamais accédé aux tables d’authentification.

Mécanisme de collecte et vecteur d’abus

Les enregistrements sont répartis sur neuf jours consécutifs, chaque lot étant de taille similaire, ce qui correspond à un job de scraping programmé plutôt qu’à une exportation instantanée. Environ 7,4 % des comptes apparaissent deux fois, preuve d’une itération sur la même cible à des moments différents – un comportement impossible dans un dump de base de données complet. Le vecteur identifié est la fonction « find‑friends » de Chess.com, qui accepte une liste d’emails externes et renvoie les comptes correspondants. Cette méthode a déjà servi à une fuite de 828 000 comptes en 2023, puis à une seconde de 476 000 comptes. La présence des champs d’audience Google, absents de l’API publique, suggère que le scrappeur a exploité un endpoint interne authentifié, possiblement via un token d’accès détourné.

Conséquences et mesures de mitigation

Bien que les mots de passe ne soient pas compromis, la combinaison d’email, de nom réel, de pays et de niveau d’échecs constitue un vecteur de phishing très efficace, notamment pour des messages de renouvellement d’abonnement ou de contestation de fair‑play. Les utilisateurs doivent vérifier l’authenticité de tout courriel provenant de Chess.com et éviter la réutilisation de leurs identifiants sur d’autres services. Du côté de l’opérateur, la restriction de la fonction « find‑friends » aux requêtes authentifiées, la mise en place de limites de taux et la suppression des champs d’audience des réponses publiques sont des mesures immédiates pour réduire la surface d’exposition.