Archive of Our Own (AO3), la gran biblioteca de fan fiction en internet, está fuera de servicio desde el 29 de octubre por lo que su organización gestora llama un «incidente de seguridad», y advierte de que la recuperación podría tardar entre dos y cuatro semanas. La Organization for Transformative Works (OTW), la entidad sin ánimo de lucro que mantiene el sitio, dice que no cree que se haya robado la base de datos de usuarios, aunque no puede descartarlo. Lo explica la OTW en una actualización oficial del 30 de octubre, y lo recoge Engadget.El matiz es importante: la OTW habla de un incidente que está investigando, no de un ataque confirmado ni de un robo de datos demostrado.¿Qué ha pasado y desde cuándo?El sitio lleva caído desde la madrugada del 29 de octubre, hora del este de EE. UU. Lo que empezó como una ventana de mantenimiento de unas 12 horas se convirtió en algo mayor cuando la OTW detectó indicios de un incidente de seguridad, según Engadget. La organización está en las primeras fases de la respuesta y todavía determina su alcance. El sitio seguirá caído mientras dure la investigación.La OTW no ha dicho qué lo causó. Sí dio un plazo claro: estima que restaurar el servicio llevará unas dos semanas y podría alargarse hasta cuatro. Puede que el sitio vuelva antes en una versión degradada, con funciones limitadas o en modo solo lectura, y que durante la recuperación vuelva a caerse de forma inesperada.¿Están a salvo los datos y las obras?Las obras, sí; los datos de los usuarios, probablemente, pero sin garantía. La OTW afirma que no se ha borrado ningún dato y que las obras, los marcadores y los kudos están a salvo. Sobre los datos personales es más cauta: no cree que se haya exfiltrado la base de datos, aunque no puede asegurarlo. Esa base puede contener nombres de usuario, direcciones de correo, direcciones IP y contraseñas cifradas (con hash). La organización recuerda que AO3 no recoge nombres reales y que los datos de las donaciones se guardan en un sistema separado, no vinculado a AO3.Por eso su recomendación a los usuarios es concreta: cambiar la contraseña en cualquier otro sitio donde se usara la misma que en AO3, porque una contraseña débil o reutilizada puede descifrarse aunque esté con hash. Vale la pena ver cuánto tarda hoy un atacante en adivinar una contraseña según su longitud.¿Por qué una web tan grande tarda semanas en volver?Porque la mantienen voluntarios y porque, ante la duda, han preferido parar. La OTW funciona con ingenieros voluntarios, lo que, como apunta Engadget, puede ralentizar la reparación. Y la decisión de mantener el sitio caído mientras investigan es, en seguridad, la prudente: es preferible un apagón largo a reabrir sobre un sistema que no se entiende del todo.Engadget añade un contexto que conviene no confundir con una causa confirmada: en los días previos circularon dos vulnerabilidades, una en PHP y otra en certificados TLS, que dejaron sitios fuera de combate, y la propia OTW cerró brevemente su wiki Fanlore por el fallo de PHP. Pero la organización no ha dicho que AO3 esté afectado por ninguno de los dos. Enlazarlos sería especular. Lo que sí es real es el riesgo de fondo de no actualizar PHP a tiempo.Mi lectura: lo más sensato que ha hecho la OTW es comunicar con honestidad, incluso a costa de parecer alarmista. Decir «no creemos que se hayan robado los datos, pero no podemos descartarlo» es justo lo contrario del «todo está bajo control» que sueltan tantas empresas antes de admitir lo contrario. Para los millones de usuarios de AO3, que es un sitio con una comunidad enorme y muy fiel, dos a cuatro semanas sin servicio es un golpe. Pero el verdadero examen vendrá cuando la OTW cierre la investigación y diga, con todas las letras, si alguien entró y qué se llevó. Hasta entonces, cambiar las contraseñas reutilizadas no es paranoia, es lo mínimo, y es buen momento para plantearse el salto a las llaves de acceso o passkeys, que no se pueden reutilizar ni robar en una filtración como esta.La noticia AO3, la mayor web de fan fiction, lleva días caída por un «incidente de seguridad» y podría tardar semanas en volver fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.