Chess.com, esposti 7,3 milioni di profili: i dati indicano uno scraping su larga scala

Un archivio pubblicato gratuitamente con 7.337.395 record

Un archivio contenente dati associati a 7.337.395 utenti di Chess.com è comparso gratuitamente su due forum dedicati alla diffusione di dati sottratti. L’analisi resa pubblica il 14 agosto 2026 considera il materiale autentico e recente, ma non ha trovato elementi sufficienti per definirlo una compromissione dei server della piattaforma.

Il file è un archivio 7-Zip da 744 MB. Dopo l’estrazione diventa una tabella delimitata da tabulazioni di circa 15,5 GB, con una riga di intestazione e 7.337.395 record. Ogni riga contiene 38 campi.

Non sono coinvolte versioni specifiche di un software: l’esposizione riguarda i dati dei profili e alcuni elementi appartenenti all’infrastruttura commerciale di Chess.com.

Tra i campi presenti figurano:

• indirizzo email e versione parziale dell’indirizzo;
• username, user ID e UUID;
• nome e cognome;
• Paese, località e impostazioni locali;
• titolo scacchistico;
• rating, livello di abilità e miglior punteggio;
• tipo di rating ufficiale;
• stato e denominazione dell’abbonamento premium;
• indicatori di verifica e attivazione;
• data di iscrizione e ultimo accesso.

Un indirizzo email compare in circa tre quarti dei record. L’associazione con nome reale, posizione geografica, rating e abbonamento rende il dataset utile per campagne mirate, anche se non contiene direttamente credenziali di accesso.

Gli UUID confermano l’origine dei dati

La verifica tecnica non ha richiesto l’accesso ai sistemi di Chess.com. Gli UUID presenti nei record sono identificativi di versione 1, una tipologia che incorpora nel valore anche il momento preciso della generazione.

I ricercatori hanno decodificato il timestamp nascosto in 200.000 record campione, confrontandolo con il momento di registrazione degli account corrispondenti. La coincidenza è risultata completa: il timestamp degli UUID combaciava con la data di iscrizione, con una precisione fino al millisecondo.

Un risultato del genere è difficilmente compatibile con dati inventati o generati casualmente. Indica invece che almeno gli identificativi provengono effettivamente dalla piattaforma o da un sistema che li ha ricevuti direttamente da Chess.com.

Questo non dimostra, da solo, un’intrusione nei database interni. Conferma però che il materiale è composto da dati reali e riconducibili agli account indicati.

Perché l’ipotesi principale è lo scraping

La struttura del dataset suggerisce una raccolta automatizzata e ripetuta, più che un’unica esportazione completa del database.

I record risultano prodotti in batch giornalieri distribuiti su nove giorni consecutivi. Una sequenza simile è compatibile con uno scraper che interroga progressivamente la piattaforma, anziché con un aggressore che scarica una copia unica del database.

Anche i duplicati rafforzano questa interpretazione. Circa il 7,4% degli account compare due volte, con la stessa utenza rilevata in giornate diverse. La ripetizione è coerente con visite successive dello strumento automatico e con una raccolta incrementale.

Esiste inoltre un precedente tecnico. La funzione find-friends era già stata sfruttata per verificare liste esterne di indirizzi email e stabilire quali corrispondessero ad account reali. Nel 2023 era emerso un archivio analogo da circa 828.000 record, mentre in seguito era stata osservata un’ulteriore raccolta relativa a circa 476.000 utenti.

Il nuovo dataset appare compatibile con la stessa tecnica, ma su una scala indicata come circa nove volte superiore rispetto all’episodio precedente. In quel caso Chess.com aveva sostenuto che non si trattasse di una violazione dei dati e che infrastruttura, account e password fossero al sicuro.

I campi pubblicitari rappresentano l’anomalia più significativa

L’elemento che impedisce di ricondurre con certezza l’intero episodio a un semplice scraping pubblico è costituito dagli ultimi due campi della tabella: gam_audiences e audiences_member_of.

Entrambi risultano valorizzati in ogni record e contengono segmenti di audience associati a Google Ad Manager. Tra gli esempi compaiono gruppi sperimentali per promuovere i coach, utenti idonei a periodi di prova, account non più attivi e segmentazioni basate sulle fasce di rating.

Queste informazioni appartengono allo stack di marketing e non al profilo normalmente visibile agli altri utenti. Inoltre, secondo l’analisi tecnica, non sono esposte dalla normale API pubblica per sviluppatori di Chess.com.

Resta quindi da chiarire come siano state ottenute. Le ipotesi comprendono l’accesso a un endpoint autenticato, l’abuso di un’interfaccia destinata a componenti interni oppure l’impiego di una sessione con privilegi superiori rispetto a quelli disponibili a un normale visitatore.

Questo dettaglio non basta a dimostrare una compromissione dei server. Mostra però che almeno una parte della raccolta potrebbe avere sfruttato una superficie non pubblica o non documentata. Per Chess.com, è il punto che richiede la verifica più urgente.

Nessuna password, ma il rischio di phishing è concreto

Nel materiale non risultano password, hash delle password o dati di pagamento. L’archivio, quindi, non consente direttamente di accedere agli account Chess.com tramite le credenziali contenute nel file.

Il rischio non è tuttavia trascurabile. Un aggressore dispone potenzialmente di email, nome, Paese, località, rating, stato dell’abbonamento e indicatori sull’attività dell’utente. Questi elementi permettono di costruire messaggi molto più credibili rispetto a una campagna di phishing generica.

Un’email fraudolenta potrebbe simulare:

• una richiesta di rinnovo dell’abbonamento;
• un’offerta per un periodo di prova premium;
• una contestazione legata al fair play;
• un avviso sul rating o sull’attività recente;
• una richiesta di verifica dell’account.

La presenza di un indirizzo email confermato può inoltre alimentare attacchi contro altri servizi. Chi riutilizza la stessa password su più piattaforme resta esposto a tentativi di credential stuffing, mentre informazioni precise sul profilo possono sostenere operazioni di ingegneria sociale e recupero fraudolento degli account.

Che cosa devono fare gli utenti

Gli utenti di Chess.com dovrebbero considerare sospetti i messaggi che citano rating, abbonamento, partite o attività effettivamente svolte sul profilo.

Per verificare un rinnovo, una contestazione o una richiesta di accesso è preferibile aprire direttamente il sito o l’app ufficiale, senza utilizzare i collegamenti contenuti nelle email. La stessa password non dovrebbe essere riutilizzata su servizi diversi; se è stata impiegata altrove, va sostituita anche su quelle piattaforme.

È opportuno attivare l’autenticazione multifattore, quando disponibile, e controllare se il proprio indirizzo è comparso in altre esposizioni note. Particolare prudenza serve davanti a messaggi che conoscono il nome reale dell’utente o riportano dati apparentemente riservati, come rating e fascia dell’abbonamento.

Per Chess.com, le verifiche prioritarie riguardano i campi collegati a Google Ad Manager, gli endpoint autenticati e interni, l’abuso di find-friends, i limiti contro l’enumerazione degli account tramite email e i sistemi anti-automazione. Al momento non è noto se la piattaforma abbia confermato pubblicamente l’origine dell’archivio o adottato contromisure specifiche.