19 czerwca 2025 r. Chess.com wykrył nieautoryzowany dostęp do zewnętrznej aplikacji do transferu plików używanej przez platformę. Włamanie trwało dwa tygodnie (5–18 czerwca), zanim zostało wykryte.
Najważniejsze szczegóły
- Skala: ~4500 użytkowników (spośród 100 mln wszystkich członków).
- Dane, do których uzyskano dostęp: imiona i nazwiska oraz ograniczone dane osobowe (bez informacji finansowych).
- Ekspozycja: na razie brak dowodów, że skradzione dane zostały ujawnione lub wykorzystane niezgodnie z przeznaczeniem.
- Reakcja: powiadomiono organy ścigania, zastosowano wzmocnione środki bezpieczeństwa.
- Wsparcie: poszkodowani użytkownicy otrzymują 1–2 lata bezpłatnej ochrony przed kradzieżą tożsamości i monitoringu kredytowego (zapisać się trzeba do 3 grudnia 2025 r.).
Kontekst
To nie pierwszy incydent w Chess.com. W listopadzie 2023 r. ponad 800 000 rekordów użytkowników zostało zeskrobanych (scraping) przez lukę w API, a następnie wyciekło do sieci.
Wnioski
Nawet platformy spoza tradycyjnych sektorów finansowego czy ochrony zdrowia mogą być atrakcyjnymi celami. Aplikacje podmiotów trzecich często stwarzają ukryte ryzyko dla prywatności i bezpieczeństwa użytkowników.
W Alcaeus Services pomagamy organizacjom wzmacniać zarządzanie ryzykiem związanym z podmiotami trzecimi, szybciej wykrywać naruszenia i chronić zaufanie użytkowników.
