AO3 遭黑客攻击，数据未丢失
AO3 Down for Maintenance
Organization for Transformative Works 确认 AO3 遭遇安全事件，目前服务已中断。官方明确表示，所有用户作品、书签和 kudos 均未丢失，数据是安全的。虽然目前不确定用户数据库是否被盗，但其中包含的邮箱、IP 地址及哈希密码可能面临风险。由于 AO3 不收集真实姓名，且捐赠信息独立存储，这部分数据未受影响。官方建议用户修改在其他网站重复使用的密码。预计 AO3 将至少停服两周，最多可能长达四周，期间可能会以功能受限或只读模式先行恢复。
即使我们使用行业标准技术将密码以无法轻易还原的乱码形式存储，但没有任何哈希方法能完全保护弱密码或重复使用的密码不被破解。
HN 评论区
33- swyx
> 今天早些时候，我们发现了 AO3 发生安全事件的证据。目前我们仍处于应对该安全事件的初期阶段，正在确定其影响范围。在继续调查并处理目前已发现的问题期间，AO3 将保持关闭状态。不过，我们想明确几点：
首先，没有任何 AO3 数据被删除。您的所有作品、书签、点赞（kudos）等均安全无损。
其次，虽然目前我们认为用户数据库并未被盗，但我们也无法完全排除这种可能性。AO3 数据库包含账户信息，可能包括您的用户名、电子邮件地址、IP 地址以及密码的哈希版本。
我们采用行业标准技术，以无法轻易还原的乱码形式存储密码。即便如此，没有任何哈希方法能完全防止弱密码或重复使用的密码被破解。作为预防措施，我们建议您更改在其他网站上使用的与 AO3 相同的密码。
AO3 不收集真实姓名，因此不会有任何真实姓名泄露。此外，我们的捐赠者信息存储在一个完全独立的系统中，且从未与 AO3 关联，因此该数据也未泄露。
随着调查的深入，我们将持续向大家更新进展；我们可能无法回复用户的个别询问。请关注我们的官方渠道获取最新信息。一旦有进一步消息，我们将发布下一次更新。
目前我们预计 AO3 将至少关闭两周 […]
- wmf
- tialaramex
> AO3 数据库包含账户信息，可能包括您的用户名、电子邮件地址、IP 地址以及密码的哈希版本。
对于存储用户名，其实也没什么可做的（不过如果您不想让人将两者关联起来，那显然聪明做法就是不要在 AO3 上使用与 Facebook 等平台相同的用户名），而匿名邮箱账户对于同人创作来说，就像邮政信箱一样合理——但对于密码，我们完全可以做得更好，我认为这对 AO3 来说是一项值得投入的工程。
WebAuthn 可以让网站配合安全密钥使用，这样一来，即便发生数据泄露也基本无害，这与密码哈希的情况截然不同。
- MattGaiser
我想这大概就是未来几个月甚至几年的常态了，毕竟现在的 HN 上全是安全漏洞接二连三地爆发。
- blurbleblurble
我猜有多少安全漏洞其实一直没被发现，或者根本没被报告出来？