Archive of Our Own, или AO3, остановил работу после обнаружения признаков инцидента безопасности. Сначала 29 октября команда сообщила о техническом обслуживании, затем оценила восстановление примерно в две недели с возможным увеличением до четырёх. Обновление 30 октября в 01:27 UTC уточнило, что расследование находится на ранней стадии и масштаб события ещё определяется.
Команда заверила, что никакие данные AO3 не удалены: работы, закладки, kudos и другие материалы сохранились. При этом возможная кража пользовательской базы рассматривается отдельно. На момент сообщения организация не считала её вероятной, но не могла полностью исключить.
База содержит данные аккаунтов, среди которых могут быть username, email, IP-адрес и хэшированная версия пароля. AO3 использует стандартные методы хранения паролей в виде необратимого или трудно обратимого хэша. Однако слабый или повторно используемый пароль может быть подобран даже при корректном хэшировании. Поэтому пользователям рекомендовано сменить пароли на других сайтах, если там применялся тот же пароль, что и для AO3.
Реальные имена сервис не собирает, поэтому раскрыть их через базу AO3 невозможно. Сведения доноров находятся в полностью отдельной системе и никогда не связываются с AO3; по заявлению команды, они также не были затронуты. Это важное ограничение возможного ущерба, но не доказательство отсутствия любой утечки аккаунтов.
Сайт останется недоступным минимум на две недели, а полное восстановление может занять до четырёх. Команда надеется раньше запустить degraded-режим: часть функций будет отсутствовать или сайт станет read-only. Даже после такого запуска возможны новые внеплановые отключения, необходимые для восстановления и устранения последствий.
Дальнейшие сведения будут публиковаться по мере расследования. Команда предупредила, что, возможно, не сможет отвечать на индивидуальные обращения, и попросила следить за официальными каналами. На текущем этапе не раскрыты метод проникновения, ответственные и фактический объём доступа; главные практические выводы — сохранность контента и смена повторно использованных паролей.