AO3 sufre un ciberataque y estará caído hasta cuatro semanas
Archive of our own (AO3) hacked
La Organization for Transformative Works detectó un incidente de seguridad en AO3 y mantiene el sitio inactivo mientras investiga. No se han borrado datos y las obras, marcadores y kudos están a salvo, pero no se puede descartar el robo de la base de datos de usuarios, que incluye nombres de usuario, correos, IP y contraseñas hasheadas. Recomiendan cambiar contraseñas reutilizadas. La restauración podría tardar entre dos y cuatro semanas, aunque intentarán reactivar el servicio en modo degradado antes.
Aunque no creemos actualmente que la base de datos de usuarios haya sido robada, tampoco podemos descartarlo.
- swyx
> Hoy más temprano, detectamos evidencia de un incidente de seguridad en AO3. Todavía estamos en las primeras etapas de respuesta a este incidente de seguridad y determinando su alcance. AO3 permanecerá caído mientras continuamos investigando y abordando lo que se ha encontrado hasta ahora. Sin embargo, queremos dejar algunas cosas claras:
Primero, no se ha eliminado ningún dato de AO3. Todas tus obras, marcadores, kudos, etc., están a salvo.
Segundo, aunque actualmente no creemos que la base de datos de usuarios haya sido robada, tampoco podemos descartarlo. La base de datos de AO3 contiene información de cuentas que puede incluir tu nombre de usuario, dirección de correo electrónico, dirección IP y una versión hash de tu contraseña.
Utilizamos técnicas estándar de la industria para almacenar contraseñas en una forma codificada que no se puede revertir fácilmente. Aun así, ningún método de hash puede proteger completamente una contraseña débil o reutilizada de ser descifrada. Como precaución, recomendamos que cambies tus contraseñas en cualquier otro sitio donde uses la misma contraseña que en AO3.
AO3 no recopila nombres reales, por lo que ninguno podría quedar expuesto. Además, nuestra información de donantes se guarda en un sistema completamente separado y nunca se vincula con AO3, por lo que esos datos tampoco han quedado expuestos.
Actualizaremos a todos a medida que continúe nuestra investigación; es posible que no podamos responder a consultas individuales de los usuarios. Por favor, mantente atento a nuestros canales oficiales para actualizaciones. Nuestra próxima actualización se publicará cuando tengamos más información disponible.
Nuestra expectativa actual es que AO3 esté caído por un mínimo de dos seman […]
- wmf
Discusión de ayer: https://news.ycombinator.com/item?id=50293546
- tialaramex
> La base de datos de AO3 contiene información de cuentas que puede incluir tu nombre de usuario, dirección de correo electrónico, dirección IP y una versión hash de tu contraseña.
No hay mucho que hacer respecto a almacenar un nombre de usuario (aunque si no quieres que se haga la conexión, ya es obviamente inteligente no tener el mismo nombre de usuario en AO3 que, digamos, en Facebook) y las cuentas de correo anónimas tienen tanto sentido para trabajos de fans como un apartado de correos, pero para las contraseñas simplemente podemos hacerlo mejor y a mí me parece una pieza de ingeniería que vale la pena para AO3.
WebAuthn permite que un sitio funcione con llaves de seguridad y eso hace que una pérdida así sea básicamente inofensiva, a diferencia de los hashes de contraseñas.
- MattGaiser
Supongo que esto será lo que veremos los próximos meses/años, ya que HN en este momento es solo una brecha tras otra.
- blurbleblurble
Me pregunto cuántas brechas están pasando desapercibidas o sin ser reportadas.