Chess.com : 7,3 millions de profils exposés, les données indiquent un scraping à grande échelle

Une archive publiée gratuitement avec 7 337 395 enregistrements

Une archive contenant des données associées à 7 337 395 utilisateurs de Chess.com a été publiée gratuitement sur deux forums spécialisés dans la diffusion de données volées. L’analyse rendue publique le 14 août 2026 considère ces données comme authentiques et récentes, mais n’a pas trouvé suffisamment d’éléments pour conclure à une compromission des serveurs de la plateforme.

Le fichier est une archive 7-Zip de 744 Mo. Après extraction, elle devient une table délimitée par des tabulations d’environ 15,5 Go, comprenant une ligne d’en-tête et 7 337 395 enregistrements. Chaque ligne contient 38 champs.

Aucune version logicielle spécifique n’est concernée : l’exposition porte sur les données des profils et certains éléments de l’infrastructure commerciale de Chess.com.

Parmi les champs présents figurent :

• adresse e-mail et version partielle de l’adresse ;
• nom d’utilisateur, identifiant utilisateur et UUID ;
• prénom et nom ;
• pays, localisation et paramètres régionaux ;
• titre échiquéen ;
• classement, niveau de compétence et meilleur score ;
• type de classement officiel ;
• statut et intitulé de l’abonnement premium ;
• indicateurs de vérification et d’activation ;
• date d’inscription et dernière connexion.

Une adresse e-mail apparaît dans environ trois quarts des enregistrements. L’association avec le nom réel, la localisation géographique, le classement et l’abonnement rend le jeu de données utile pour des campagnes ciblées, même s’il ne contient pas directement d’identifiants de connexion.

Les UUID confirment l’origine des données

La vérification technique n’a pas nécessité d’accéder aux systèmes de Chess.com. Les UUID présents dans les enregistrements sont des identifiants de version 1, un type qui intègre notamment le moment exact de leur génération.

Les chercheurs ont décodé l’horodatage dissimulé dans 200 000 enregistrements échantillons, puis l’ont comparé à la date d’inscription des comptes correspondants. La concordance s’est révélée complète : l’horodatage des UUID correspondait à la date d’inscription, avec une précision allant jusqu’à la milliseconde.

Un tel résultat est difficilement compatible avec des données inventées ou générées aléatoirement. Il indique plutôt qu’au moins une partie des identifiants provient effectivement de la plateforme ou d’un système les ayant reçus directement de Chess.com.

Cela ne suffit pas, à lui seul, à prouver une intrusion dans les bases de données internes. Cela confirme toutefois que les données sont réelles et rattachées aux comptes indiqués.

Pourquoi l’hypothèse principale est celle du scraping

La structure du jeu de données suggère une collecte automatisée et répétée, plutôt qu’une exportation unique et complète de la base de données.

Les enregistrements semblent avoir été produits en lots quotidiens répartis sur neuf jours consécutifs. Une telle séquence correspond davantage à un scraper interrogeant progressivement la plateforme qu’à un attaquant téléchargeant une copie unique de la base de données.

Les doublons renforcent également cette interprétation. Environ 7,4 % des comptes apparaissent deux fois, le même utilisateur ayant été relevé à des jours différents. Cette répétition est cohérente avec des visites successives de l’outil automatisé et avec une collecte incrémentale.

Il existe par ailleurs un précédent technique. La fonctionnalité find-friends avait déjà été exploitée pour vérifier des listes externes d’adresses e-mail et déterminer lesquelles correspondaient à de véritables comptes. En 2023, une archive similaire d’environ 828 000 enregistrements avait été découverte, puis une autre collecte concernant environ 476 000 utilisateurs avait été observée.

Le nouveau jeu de données semble compatible avec la même technique, mais à une échelle environ neuf fois supérieure à celle de l’incident précédent. À l’époque, Chess.com avait affirmé qu’il ne s’agissait pas d’une violation de données et que l’infrastructure, les comptes et les mots de passe étaient en sécurité.

Les champs publicitaires constituent l’anomalie la plus importante

L’élément qui empêche d’attribuer avec certitude l’ensemble de l’incident à un simple scraping de données publiques réside dans les deux derniers champs de la table : gam_audiences et audiences_member_of.

Tous deux sont renseignés dans chaque enregistrement et contiennent des segments d’audience associés à Google Ad Manager. Parmi les exemples figurent des groupes expérimentaux destinés à promouvoir les coachs, des utilisateurs éligibles à des périodes d’essai, des comptes inactifs et des segmentations fondées sur les tranches de classement.

Ces informations appartiennent à la stack marketing et ne font pas partie du profil normalement visible par les autres utilisateurs. En outre, selon l’analyse technique, elles ne sont pas exposées par l’API publique standard destinée aux développeurs de Chess.com.

La manière dont elles ont été obtenues reste donc à déterminer. Les hypothèses incluent l’accès à un endpoint authentifié, l’abus d’une interface destinée à des composants internes ou l’utilisation d’une session disposant de privilèges supérieurs à ceux d’un visiteur ordinaire.

Ce détail ne suffit pas à démontrer une compromission des serveurs. Il montre toutefois qu’au moins une partie de la collecte pourrait avoir exploité une surface non publique ou non documentée. Pour Chess.com, c’est le point qui nécessite la vérification la plus urgente.

Aucun mot de passe, mais un risque concret de phishing

Les données ne contiennent apparemment ni mots de passe, ni hash de mots de passe, ni informations de paiement. L’archive ne permet donc pas, directement, d’accéder aux comptes Chess.com à l’aide des identifiants qu’elle contient.

Le risque n’est toutefois pas négligeable. Un attaquant dispose potentiellement de l’adresse e-mail, du nom, du pays, de la localisation, du classement, du statut d’abonnement et d’indicateurs sur l’activité de l’utilisateur. Ces éléments permettent de concevoir des messages bien plus crédibles qu’une campagne de phishing générique.

Un e-mail frauduleux pourrait se faire passer pour :

• une demande de renouvellement d’abonnement ;
• une offre de période d’essai premium ;
• une contestation liée au fair-play ;
• une alerte concernant le classement ou l’activité récente ;
• une demande de vérification du compte.

La présence d’une adresse e-mail confirmée peut également faciliter des attaques contre d’autres services. Les personnes qui réutilisent le même mot de passe sur plusieurs plateformes restent exposées aux tentatives de credential stuffing, tandis que des informations précises sur leur profil peuvent soutenir des opérations d’ingénierie sociale ou de récupération frauduleuse de comptes.

Ce que les utilisateurs doivent faire

Les utilisateurs de Chess.com devraient considérer comme suspects les messages mentionnant leur classement, leur abonnement, leurs parties ou des activités réellement effectuées sur leur profil.

Pour vérifier un renouvellement, une contestation ou une demande de connexion, il est préférable d’ouvrir directement le site ou l’application officielle, sans utiliser les liens contenus dans les e-mails. Un même mot de passe ne devrait pas être réutilisé sur plusieurs services ; s’il l’a été, il doit également être changé sur ces plateformes.

Il est recommandé d’activer l’authentification multifacteur lorsqu’elle est disponible et de vérifier si son adresse e-mail apparaît dans d’autres fuites connues. Une prudence particulière s’impose face aux messages connaissant le nom réel de l’utilisateur ou mentionnant des données apparemment confidentielles, comme son classement ou la catégorie de son abonnement.

Pour Chess.com, les vérifications prioritaires concernent les champs liés à Google Ad Manager, les endpoints authentifiés et internes, l’abus de find-friends, les mécanismes limitant l’énumération de comptes par adresse e-mail et les systèmes anti-automatisation. À ce stade, on ignore si la plateforme a publiquement confirmé l’origine de l’archive ou mis en place des contre-mesures spécifiques.