Jeżeli grywasz w szachy na Chess.com, twój adres e-mail może leżeć w pliku krążącym od sierpnia po forach przestępczych. 13 września 2026 serwis Have I Been Pwned dopisał do bazy zbiór z tego serwisu: 7,3 miliona wierszy i 4 653 212 niepowtarzalnych adresów. Są tam też nazwy użytkowników, imiona, nazwiska i kraje. Haseł w tym pliku nie ma, więc nikt nie wejdzie dzięki niemu na twoje konto. Problem dotyczy twojej skrzynki pocztowej. Zestaw danych z tego zbioru wystarczy, żeby napisać do ciebie wiadomość brzmiącą jak prawdziwa korespondencja z serwisu.
Co dokładnie znalazło się w pliku z danymi Chess.com
Have I Been Pwned wymienia cztery kategorie: adresy e-mail, lokalizacje geograficzne, imiona i nazwiska oraz nazwy użytkowników. Serwis oznacza zbiór jako zweryfikowany, czyli uznaje zawarte w nim dane za autentyczne.
Warto od razu ustawić skalę, bo żadna z relacji o tym nie wspomina. W raporcie za drugi kwartał 2026 Chess.com podaje ponad 267 milionów kont i średnio 10,2 miliona aktywnych użytkowników dziennie. Odsetka objętych kont nie da się z tego wyliczyć, bo 4,65 miliona dotyczy niepowtarzalnych adresów e-mail, a nie kont. Sama liczba 7,3 miliona opisuje z kolei wiersze pliku, nie osoby. Część rekordów się powtarza, o czym za chwilę.
Szczegółową analizę zawartości opublikował Security Affairs. Według niej plik waży 744 MB w archiwum i rozpakowuje się do około 15,5 GB. Pojedynczy rekord ma 38 pól. Poza danymi kontaktowymi są tam między innymi ranking szachowy, data założenia konta i data ostatniego logowania.
Najciekawsza jest ostatnia grupa pól. To etykiety z systemu reklamowego Google Ad Manager, czyli segmenty, do których serwis przypisywał graczy. Serwis AllAboutCookies wylicza wśród nich uprawnienie do okresu próbnego i oznaczenie konta porzuconego. Dalej idzie przedział rankingowy oraz przydział do eksperymentu z podpowiadaniem trenera. Mówiąc prościej: w pliku widać nie tylko to, kim jesteś, ale też za kogo miał cię reklamodawca.
Czego w nim nie ma, wiadomo równie dokładnie. Security Affairs pisze wprost, że w całym zbiorze nie występują hasła, skróty haseł ani dane płatnicze. Techlicious potwierdza to niezależnie.
Dziewięć dziennych partii, czyli jak powstał ten plik
Analiza Security Affairs pokazuje, że dane nie wyszły z serwera w jednym zrzucie. Zbierano je przez dziewięć kolejnych dni, w dziennych partiach. Aż 7,4% rekordów powtarza się w różnych dniach, co przy jednorazowej kopii bazy danych nie miałoby prawa się zdarzyć.
Drugi argument dorzuca samo Have I Been Pwned. Po wczytaniu zbioru okazało się, że 99% adresów e-mail widniało już wcześniej w innych wyciekach. To wygląda na sytuację, w której ktoś wziął gotową listę adresów z dawnych baz i sprawdzał po kolei, które z nich mają konto na Chess.com. Troy Hunt, twórca serwisu, opisał różnicę między takim zbieraniem a klasycznym włamaniem w osobnym tekście o tym, kiedy scrape staje się wyciekiem.
Jedna rzecz do tej układanki nie pasuje i uczciwie trzeba ją nazwać. Techlicious zwraca uwagę, że adresy e-mail oraz część etykiet reklamowych nie są widoczne na publicznym profilu gracza. Samo zbieranie danych ze stron nie tłumaczy więc, jak trafiły do pliku. Security Affairs stawia hipotezę o uwierzytelnionym albo wewnętrznym punkcie dostępowym, czyli adresie interfejsu, z którego normalnie korzysta sama platforma. Żadne ze źródeł tego nie przesądza i my również nie będziemy.
Dlaczego sam plik nie pozwala wejść na twoje konto
Skoro haseł w zbiorze nie ma, nikt nie zaloguje się na jego podstawie. Ryzyko przesuwa się o jeden krok dalej, do wiadomości, które możesz dostać w najbliższych tygodniach.
Wyobraź sobie mail podpisany nazwą serwisu, w którym ktoś zwraca się do ciebie twoim prawdziwym imieniem, podaje twój login, wymienia twój ranking i przypomina, kiedy ostatnio grałeś. Potem pisze, że konto zostało zawieszone za podejrzenie korzystania z silnika szachowego, i podsuwa odnośnik do odwołania. Każdy z tych szczegółów pochodzi z pliku, który dziś jest w wolnym obiegu. Zarzut o oszukiwanie trafia przy tym w najczulszy punkt, bo dla gracza z rankingiem to sprawa honoru, a nie formalność.
Ten sam schemat pokazywaliśmy przy fałszywych SMS-ach o wycieku danych medycznych. Zasada jest zawsze ta sama: im więcej prawdziwych szczegółów zna nadawca, tym mniej pytań zadaje odbiorca.
Jak sprawdzić, czy twój adres jest w wycieku z Chess.com
Najprościej sprawdzisz to bezpłatnie w Have I Been Pwned.
- Wejdź na haveibeenpwned.com i wpisz swój adres e-mail. Jeżeli wyciek danych Chess.com cię obejmuje, w wynikach zobaczysz pozycję “Chess.com (2026)”. Serwis prowadzi Troy Hunt, australijski badacz bezpieczeństwa. To standardowe narzędzie branżowe, a nie przypadkowa wyszukiwarka.
- Sprawdź wszystkie swoje adresy, łącznie ze starą skrzynką, na którą zakładałeś konto lata temu. Konto na Chess.com mogło powstać właśnie na niej.
- Nie szukaj tej informacji w moje.cert.pl. Nowa funkcja uruchomiona tam 2 września dotyczy czegoś innego, bo dopasowuje luki w oprogramowaniu do infrastruktury zgłoszonej organizacji. Pisaliśmy o niej w tekście o module podatności CERT Polska. Dla osoby prywatnej sprawdzającej własny adres to nie jest właściwe miejsce.
Szerszą listę bezpłatnych sposobów sprawdzania, gdzie krążą twoje dane, zebraliśmy w poradniku o serwisie Bezpieczne Dane na gov.pl.
Co zrobić, jeżeli twój adres tam jest
Kolejność ma znaczenie, bo pierwsze dwa kroki zajmują kilka minut.
- Włącz drugi składnik logowania na koncie Chess.com. Samo hasło przestaje wtedy wystarczać komukolwiek, kto zdobędzie je z innego źródła.
- Sprawdź, czy hasła z Chess.com nie używasz gdzie indziej. Jeżeli tak, zmień je w pozostałych serwisach, zaczynając od skrzynki pocztowej.
- Przez najbliższe miesiące traktuj każdą wiadomość “z Chess.com” jako podejrzaną. Nie klikaj odnośników do logowania w mailach. Wpisz adres serwisu ręcznie w przeglądarce i sprawdź powiadomienia po zalogowaniu. Tak samo traktuj wiadomości “ze związku” albo “z klubu”, jeśli grasz w turniejach Polskiego Związku Szachowego. W październiku 2026 roku Sekurak opisał lukę w Centralnym Rejestrze PZSzach, przez którą według badaczy dało się pobrać dane około 135 tys. rekordów.
- Nie płać za usunięcie danych z wycieku. Pliku w obiegu nie da się cofnąć, a oferty tego rodzaju są osobnym rodzajem oszustwa.
Pierwsza Misja AI · Kodożercy
Używasz AI codziennie, ale czy robisz to dobrze?
Kurs Pierwsza Misja AI pokaże Ci techniki promptowania, które naprawdę działają. Praktyczne ćwiczenia na żywym modelu, gamifikacja i certyfikat.
Sprawdź program kursu →
Chess.com milczy, a to już trzeci taki zbiór w trzy lata
14 września sprawdziliśmy dział aktualności Chess.com i nie ma tam żadnego komunikatu o tej sprawie. Brak stanowiska potwierdzają też redakcje, które opisały zbiór jako pierwsze. Firma po prostu się nie odniosła.
W obiegu krąży za to zdanie przypisywane serwisowi: “To NIE był wyciek danych. Nasza infrastruktura, konta członków oraz dane takie jak hasła są bezpieczne”. Wypowiedź jest prawdziwa, tylko pochodzi z 2023 roku i dotyczy innego zbioru. Chess.com odpowiadał wtedy na publikację około 828 tysięcy rekordów, pozyskanych przez nadużycie funkcji wyszukiwania znajomych. Kilka dni później doszło do tego kolejne 476 tysięcy. Podstawianie tego cytatu pod dzisiejszą sprawę byłoby przypisaniem firmie zdania, którego w 2026 roku nie powiedziała.
Do tego dochodzi odrębne zdarzenie z 2025 roku, gdy dane 4 541 osób wypłynęły u zewnętrznego dostawcy narzędzia do przesyłania plików. Razem daje to trzeci opisany przypadek z danymi użytkowników Chess.com w ciągu trzech lat. Każdy miał inny mechanizm i inną skalę, od kilku tysięcy osób po miliony rekordów.
Najczęstsze pytania o wyciek danych z Chess.com
Czy muszę zmienić hasło do Chess.com?
Samo to zdarzenie tego nie wymusza, bo haseł w pliku nie ma. Zmiana jest natomiast konieczna wtedy, gdy tego samego hasła używasz w innym serwisie. Zdecydowanie ważniejszym krokiem jest włączenie drugiego składnika logowania.
Czy mogę zażądać od Chess.com usunięcia moich danych?
Jako mieszkaniec Unii Europejskiej możesz zażądać dostępu do swoich danych, a w określonych przypadkach również ich usunięcia. Prawo do usunięcia nie jest przy tym bezwarunkowe i RODO przewiduje od niego wyjątki. Na pliku, który już krąży po forach, nic to jednak nie zmieni. Kopii, które zdążyły się rozejść, nikt nie wycofa.
Podsumowanie
Plik z 7,3 miliona wierszy i 4 653 212 adresami e-mail użytkowników Chess.com trafił 13 września 2026 do bazy Have I Been Pwned. Serwis oznacza go jako zweryfikowany. Poza adresami są w nim nazwy użytkowników, imiona i nazwiska, kraje, rankingi, daty logowania oraz etykiety segmentów reklamowych. Haseł, ich skrótów ani danych płatniczych w zbiorze nie ma, co potwierdzają dwie niezależne redakcje. Dowody wskazują na zbieranie danych rozłożone na dziewięć dni, a nie na jednorazowe włamanie. Obecność pól niewidocznych na publicznych profilach pozostaje przy tym niewyjaśniona. Chess.com na dzień 14 września nie wydał żadnego komunikatu. Dla gracza z Polski praktyczne są trzy rzeczy: sprawdzić adres w Have I Been Pwned, włączyć drugi składnik logowania i czytać maile “z Chess.com” ze sporą nieufnością.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
