chess.com逾733万用户记录遭大规模抓取泄露：约400万邮箱外流，营销受众标签成新泄露面

安全研究机构Ransomnews于8月12日发布分析报告，确认国际象棋在线平台chess.com遭遇大规模用户数据抓取事件。一份744MB的7-Zip压缩文件展开后为15.5GB的TSV表格，包含7,337,395条用户记录、38个字段，涵盖邮箱、用户名、用户ID、UUID、姓名、国家、城市、国际象棋头衔、会员等级、评分、注册时间与最后登录时间戳等平台特定数据，目前已在两个数据泄露论坛免费分发。

Ransomnews对数据真实性进行了严格校验：通过解码记录中版本1 UUID（时间基变体）内嵌的时间戳，与同行的注册时间（member_since）比对，在20万条抽样中169,287条完全匹配（匹配率100%），排除了伪造或拼凑数据的可能。约74.7%的记录携带邮箱地址，与发帖者宣称的400万+邮箱相符，捕获窗口集中在7月26日至8月3日，属逐日批次抓取的新鲜数据，而非旧数据回收。

分析指出，该事件并非对chess.com系统的入侵——文件中无密码、密码哈希或支付数据，所有结构信号指向对非公开接口的大规模爬取，而非平台服务器遭攻破。值得注意的是，每条记录末尾的gam_audiences与audiences_member_of字段包含Google Ad Manager受众分段标签（如教练实验组、试用资格、流失用户群组、评分区间定向等），这类营销栈字段通常不出现在公开API中，提示抓取方可能通过特殊途径获取了超出公开资料范围的数据。

此事件再次凸显数据抓取与泄露之间的灰色地带：即便不涉及系统入侵，大规模非公开接口抓取同样构成对用户个人信息的大规模不当处理。平台方需审视其非公开接口的访问控制与反爬机制，用户则面临邮箱被用于撞库、钓鱼和用户画像的风险。美国用户约占三分之二，其余分布于英国、加拿大、哥伦比亚、印度、澳大利亚、巴西等国。