AO3がハッキング被害、復旧に最大4週間の見通し
Archive of our own (AO3) hacked
Organization for Transformative Worksは、AO3でセキュリティインシデントの証拠を検出したと発表した。作品やブックマークなどのデータは削除されておらず安全だが、ユーザーデータベースが盗まれた可能性は否定できず、ユーザー名、メールアドレス、IPアドレス、ハッシュ化されたパスワードが含まれる可能性がある。復旧には最低2週間、最大4週間かかる見込みで、一部機能のみの縮退運用となる可能性もある。
AO3は本名を収集していないため、それが露出することはありません。
HNでの議論
34- swyx
> 本日早い時間に、AO3上でセキュリティインシデントの証拠を検出しました。私たちはまだこのセキュリティインシデントへの対応の初期段階にあり、その範囲を特定しているところです。これまでに判明したことを調査し対処を続ける間、AO3は停止したままとなります。ただし、いくつかの点を明確にしておきたいと思います：
第一に、AO3のデータは何も削除されていません。あなたの作品、ブックマーク、kudosなどはすべて安全です。
第二に、現時点ではユーザーデータベースが盗まれたとは考えていませんが、それを完全に否定することもできません。AO3のデータベースには、ユーザー名、メールアドレス、IPアドレス、およびハッシュ化されたパスワードが含まれている可能性のあるアカウント情報が含まれています。
私たちはパスワードを容易に逆変換できない形で保存するために業界標準の技術を使用しています。それでも、どんなハッシュ方式でも弱いパスワードや使い回されたパスワードが解読されるのを完全に防ぐことはできません。予防措置として、AO3と同じパスワードを使用している他のサイトではパスワードを変更することをお勧めします。
AO3は本名を収集していないため、本名が露出することはありません。さらに、寄付者情報は完全に別のシステムで保持されており、AO3にリンクされることは決してないため、そのデータも露出していません。
調査の継続に伴い、皆さんに更新情報をお伝えします。個々のユーザーからの問い合わせには対応できない場合があります。最新情報については公式の窓口を注視してください。次回の更新は、さらに情報が入手でき次第投稿されます。
現在の見通しでは、AO3は最低2週間 […]
- wmf
- tialaramex
> AO3のデータベースには、ユーザー名、メールアドレス、IPアドレス、およびハッシュ化されたパスワードが含まれている可能性のあるアカウント情報が含まれています。
ユーザー名の保存についてはできることはあまりありません（とはいえ、関連付けを望まないなら、AO3でFacebookなどと同じユーザー名を使わないのがすでに明らかに賢明ですが）、匿名のメールアカウントは、私書箱がそうであるのと同じくらいファン作品にとって理にかなっています。しかしパスワードについては、もっとうまくやることができ、AO3にとって価値のあるエンジニアリングの一環だと私には思えます。
WebAuthnを使えば、サイトはセキュリティキーと連携でき、パスワードハッシュの場合とは異なり、そのような損失は基本的に無害になります。
- MattGaiser
おそらく今後数か月、数年の間、こういう状況が続くのでしょうね。今のHNは侵害の話ばかりですから。
- blurbleblurble
どれだけの侵害が検知されず、報告されずにいるのだろうか。