W środowe popołudnie w Internet Archive pojawiło się nielegalne wyskakujące okienko JavaScript informujące, że w witrynie doszło do poważnego naruszenia bezpieczeństwa danych. Kilka godzin później organizacja potwierdził zdarzenie.
Długoletni badacz bezpieczeństwa Troy Hunt, który prowadzi witrynę internetową powiadamiającą o naruszeniach danych Czy zostałem oszukany (HIBP), również potwierdzony że naruszenie jest uzasadnione. Powiedział, że miało to miejsce we wrześniu, a skradziony skarb zawiera 31 milionów unikalnych adresów e-mail wraz z nazwami użytkowników, skrótami haseł bcrypt i innymi danymi systemowymi. Piszczący Komputer, który jako pierwszy zgłosił naruszenierównież potwierdziło ważność danych.
Archiwum internetowe nie odpowiedziało jeszcze na wiele próśb o komentarz od WIRED.
„Czy miałeś kiedyś wrażenie, że Archiwum internetowe działa na patykach i jest stale o krok od katastrofalnego naruszenia bezpieczeństwa?” – napisali napastnicy w środowym wyskakującym komunikacie Internet Archive. „To się po prostu wydarzyło. Do zobaczenia 31 milionów z Was na HIBP!”
Oprócz włamań i zniszczenia witryny Internet Archive zmaga się z falą rozproszonych ataków typu „odmowa usługi”, które sporadycznie powodują wyłączenie usług.
Założyciel Internet Archive, Brewster Kahle, udostępnił plik aktualizacja publiczna w środę wieczorem w poście na portalu społecznościowym X. „Co wiemy: atak DDOS – na razie odparty; niszczenie naszej strony internetowej poprzez bibliotekę JS; naruszenie nazw użytkowników/e-maili/haseł szyfrowanych solo. Co zrobiliśmy: wyłączyliśmy bibliotekę JS, przeczyściliśmy systemy, ulepszyliśmy zabezpieczenia. Podzielimy się więcej, jak wiemy.” „Systemy czyszczące” odnoszą się do usług oferujących ochronę przed atakami DDoS poprzez filtrowanie złośliwego ruchu-śmieci, aby nie mógł zalewać i zakłócać działania witryny internetowej.
Archiwum internetowe wielokrotnie stawało w obliczu agresywnych ataków DDoS, w tym pod koniec maja. Jako Kahle napisał w środę: „Wczorajszy atak DDOS na @internetarchive powtórzył się dzisiaj. Pracujemy nad przywróceniem witryny http://archive.org online”. Grupa haktywistów znana jako „BlackMeta” przyznał się do odpowiedzialności za ataki DDoS z tego tygodnia i oświadczył, że planuje przeprowadzić więcej przeciwko Internet Archive. Wciąż jednak nie jest znany sprawca naruszenia bezpieczeństwa danych.
W ostatnich miesiącach Internet Archive toczyło bitwy na wielu frontach. Oprócz powtarzających się ataków DDoS organizacja stoi także przed rosnącymi wyzwaniami prawnymi. Niedawno przegrał apelację w Hachette przeciwko Archiwum internetowemupozew złożony przez wydawców książek, w którym podnoszono, że ich biblioteka wypożyczająca książki cyfrowe narusza prawo autorskie. Teraz stoi przed egzystencjalnym zagrożeniem w postaci kolejnego pozwu o prawa autorskie, tym razem z wytwórniami muzycznymi, który może skutkować odszkodowaniami sięgającymi ponadf 621 milionów dolarów jeżeli sąd orzeknie przeciwko archiwum.
HIBP’s Hunt twierdzi, że po raz pierwszy otrzymał skradzione dane z Internet Archive 30 września, przejrzał je 5 października i ostrzegł o tym organizację 6 października. Twierdzi, że grupa potwierdziła mu naruszenie następnego dnia i że planował załadować dane do HIBP i w środę powiadomić swoich abonentów o naruszeniu. „Zostają zniszczone i poddane atakom DDoS zaraz po załadowaniu danych do HIBP” – Hunt napisał. „Moment wystąpienia ostatniego punktu wydaje się całkowicie przypadkowy”.
Hunt dodał również, że chociaż zachęcał grupę do publicznego ujawnienia samego naruszenia danych przed publikacją powiadomień HIBP, opóźnienie mogą wyjaśniać okoliczności łagodzące.
„Oczywiście wolałbym zobaczyć to ujawnienie znacznie wcześniej, ale biorąc pod uwagę, jak bardzo są atakowani, myślę, że każdy powinien dać im trochę luzu” – Hunt napisał. „To organizacja non-profit, która wykonuje świetną robotę i świadczy usługi, na których tak wielu z nas w dużym stopniu polega”.
