La scommessa sui dati di Chess.com: una violazione di terze parti espone l’identità dei giocatori

In breve

• Chess.com ha subito una violazione dei dati che ha colpito poco più di 4.500 utenti a giugno 2025.
• La violazione è stata ricondotta a un’applicazione di trasferimento file di terze parti compromessa, non ai sistemi interni di Chess.com.
• Nessuna password o dato di pagamento è stato esposto; sono stati accessibili solo nomi e identificativi.
• Le notifiche agli utenti coinvolti sono iniziate il 3 settembre 2025, con offerte di protezione dell’identità gratuita.
• Chess.com aveva già affrontato altri incidenti, tra cui massicci scraping di dati e abusi delle API nel 2023.

Mossa d’apertura: una violazione oltre la scacchiera

Immaginate i corridoi digitali di Chess.com, un’arena vivace per 150 milioni di giocatori. Ma a giugno 2025, un intruso silenzioso si è introdotto - non dalla porta principale, ma da un ingresso laterale poco notato: uno strumento di trasferimento file di terze parti. Secondo quanto dichiarato da Chess.com, gli aggressori hanno sfruttato questo software esterno in due attacchi distinti, accedendo a file collegati a poco più di 4.500 utenti. Non è uno scacco matto, ma l’incidente ricorda in modo netto che anche una pedina può cambiare le sorti nel mondo delle minacce informatiche.

Strumenti di terze parti: l’anello più debole?

La violazione non è partita dall’infrastruttura centrale di Chess.com. Gli aggressori hanno invece preso di mira un fornitore esterno - uno schema ormai familiare negli ultimi anni. Gli attacchi alla supply chain sono infatti aumentati, con esempi noti come gli attacchi al trasferimento file MOVEit nel 2023, che hanno colpito centinaia di organizzazioni in tutto il mondo, dalle banche alle agenzie governative. Come riportato da The Record e Kaspersky, gli attaccanti spesso preferiscono queste vie indirette, sfruttando relazioni di fiducia proprio come un abile giocatore di scacchi sfrutta una svista posizionale.

Per Chess.com, i dati esposti si sono limitati a nomi e altri identificativi, risparmiando agli utenti lo scenario peggiore di furto di password o informazioni di pagamento. Tuttavia, l’azienda si è mossa rapidamente: ha notificato gli utenti, coinvolto esperti di cybersicurezza esterni e le forze dell’ordine federali. Ai membri colpiti è stata offerta una protezione dell’identità gratuita, un passo ormai comune ma fondamentale nel manuale delle violazioni moderne.

La storia si ripete: una pressione costante

Non è la prima volta che Chess.com finisce sotto i riflettori della cybersicurezza. Nel 2021, i ricercatori scoprirono una falla che avrebbe potuto esporre i dati di 50 milioni di utenti, ma il problema fu segnalato responsabilmente prima che si verificassero danni. Nel novembre 2023, gli hacker pubblicarono centinaia di migliaia di record utente estratti tramite scraping su forum underground. Come spiegato da Chess.com a HackRead, quelle fughe derivavano da un abuso delle API - un modo per sottrarre dati attraverso canali legittimi invece che tramite vere e proprie intrusioni.

La violazione del 2025 segna un cambiamento: non si tratta di scraping o furto di password, ma della vulnerabilità dei partner esterni. Questo riflette una sfida più ampia che riguarda tutti i settori, dove le aziende devono proteggere non solo le proprie mura, ma anche i vicoli nascosti creati dagli strumenti dei fornitori.

Guardando avanti: lezioni dal finale

Anche se la maggior parte dei giocatori di Chess.com può accedere e giocare senza preoccupazioni, la violazione rappresenta un monito. Anche la più piccola esposizione può essere sfruttata per attacchi di phishing o ingegneria sociale, e ogni incidente erode la fiducia degli utenti. La lezione? Nella cybersicurezza, come negli scacchi, non conta solo il re - ogni pezzo, ogni connessione, va protetta. Vigilanza, password robuste e consapevolezza dei rischi delle terze parti sono la nuova strategia d’apertura per chiunque giochi la partita digitale.

WIKICROOK

• Terza parte: Una 'terza parte' è un soggetto esterno i cui sistemi si collegano alla tua organizzazione, aumentando potenzialmente i rischi informatici attraverso nuovi percorsi di integrazione.
• Attacco alla supply chain: Un attacco alla supply chain è un attacco informatico che compromette fornitori di software o hardware affidabili, diffondendo malware o vulnerabilità a molte organizzazioni contemporaneamente.
• Abuso delle API: L’abuso delle API è l’utilizzo improprio di un’API per accedere, estrarre o manipolare dati in modi non previsti dal fornitore del servizio, spesso causando rischi per la sicurezza.
• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o cliccare su link dannosi.
• Servizio di protezione dell’identità: Un servizio di protezione dell’identità monitora i tuoi dati personali per attività sospette e ti avvisa in caso di potenziale frode o furto d’identità, aiutandoti a mantenere le tue informazioni al sicuro.