O Archive of Our Own (AO3), o maior arquivo de fanfics do mundo, está fora do ar desde a madrugada de 29 de outubro por causa de um incidente de segurança, segundo a Organization for Transformative Works (OTW), a entidade sem fins lucrativos que mantém o site. A previsão oficial é de duas a quatro semanas de reparo, e a OTW recomenda trocar a senha em todo serviço onde ela era igual à do AO3.
Adicione ao Google NotíciasNeste artigo
Até esta quarta-feira (11), a página de status da OTW ainda marcava o AO3 como "Major Outage" (pane grave), com o incidente em aberto. Pelas contas do tekimobile, o prazo mínimo de duas semanas, contado do dia da queda, termina por volta de 12 de novembro, e o máximo, por volta de 26 de novembro. A OTW não confirmou nenhuma das duas datas.
Em setembro, o AO3 reunia 18,4 milhões de obras em mais de 82,9 mil fandoms, segundo o 404 Media. No Brasil, é a biblioteca de quem lê e escreve histórias de K-pop, Harry Potter, Genshin Impact, Stranger Things e Taylor Swift. É gratuito, não tem anúncios e funciona só pelo navegador.
Por que o AO3 caiu: manutenção de 12 horas virou incidente de segurança
A queda começou às 07h13 UTC de 29 de outubro (04h13 em Brasília), com um aviso seco: "AO3 is down for maintenance". Às 09h03 UTC, a OTW disse que a manutenção levaria "pelo menos 12 horas", talvez mais. Às 17h41 UTC, o prazo saltou para cerca de duas semanas, podendo chegar a quatro. A organização disse ter esperança de reabrir antes "em estado degradado", mas avisou que o site poderia ser derrubado de novo durante o reparo.
A explicação veio às 22h27 de 29 de outubro em Brasília (01h27 UTC de 30/10): "Earlier today, we detected evidence of a security incident on AO3" ("hoje mais cedo, detectamos evidências de um incidente de segurança no AO3"). Segundo a OTW, a resposta estava "nos estágios iniciais", o escopo era desconhecido e o site ficaria fora durante a investigação.
Senhas, e-mails e IPs: o que pode ter vazado do AO3
A OTW separou o que garante do que não consegue garantir. Nenhum dado do AO3 foi apagado: obras, favoritos e kudos estão salvos, segundo a organização.
A parte delicada é o banco de contas. A OTW diz que "atualmente não acredita" que ele tenha sido roubado, mas admite que não pode descartar a hipótese. Esse banco pode conter nome de usuário, e-mail, endereço IP e uma versão com hash da senha, embaralhada por um algoritmo difícil de reverter. A própria organização faz a ressalva: "no hashing method can fully protect a weak or reused password from being cracked" ("nenhum método de hash protege totalmente uma senha fraca ou reutilizada").
Na prática, o maior risco é de quem usava senha curta ou repetida. Se o banco tiver sido copiado, e-mail e senha decifrada formam o par que criminosos testam em redes sociais, lojas e bancos. Dois grupos de dados ficaram de fora: o AO3 não coleta nomes reais, e as informações de doadores ficam em um sistema separado, nunca ligado ao site, segundo a OTW.
Quando o AO3 volta: a OTW manteve o prazo em 6 de novembro
A atualização mais recente é de 6 de novembro, às 00h UTC (21h de 5/11 em Brasília). Nela, a OTW diz que o trabalho para restaurar o AO3 e "fazer mudanças para prevenir futuros incidentes" segue bem e que "our original return time estimate remains accurate" ("nossa estimativa original de retorno continua precisa"). Desde então, a página de status não trouxe aviso novo.
O comunicado responde a duas dúvidas comuns. A primeira são os e-mails de kudos e de atualização de obras assinadas que voltaram a chegar com o site fora do ar. Eram notificações presas na fila desde antes da queda, liberadas durante a restauração; segundo a OTW, são verdadeiros e não são motivo de preocupação.
A segunda é sobre rascunhos salvos no próprio AO3. A OTW diz estar "trabalhando ativamente para garantir que os rascunhos não sejam apagados durante este período", o que é um esforço declarado, não uma garantia. Também não se sabe como o site volta: a organização fala em possível modo degradado, com recursos limitados ou só leitura, sujeito a novas quedas.
Causa da queda do AO3: PHP descartado e um outubro instável
A causa do incidente e a forma de entrada do invasor não foram divulgadas, assim como o número de contas acessadas. Nos primeiros dias, circulou uma hipótese: nas duas semanas anteriores, falhas graves no PHP e em certificados TLS obrigaram vários sites a sair do ar, e o Fanlore, enciclopédia de fandoms da mesma OTW, chegou a ser desligado por causa do PHP, segundo o Engadget.
A OTW negou a ligação. "I can let you know that this is not related to the PHP security issue as the Archive uses Ruby on Rails" ("isso não tem relação com a falha do PHP, já que o Archive usa Ruby on Rails"), disse um representante ao CNET.
A queda longa fecha um mês ruim. Entre 23 e 24 de outubro, o status já registrava atrasos em e-mails, busca, histórico e listagens, resolvidos sem perda de dados. O IGN do Sudeste Asiático, citado pelo IBTimes, lembra que o AO3 raramente fica mais de 24 horas fora e que a pior queda recente, por falha em servidor de banco de dados, durou três dias em março. Pesa ainda o fato de as equipes técnicas serem voluntárias. A OTW vive de doações: na campanha de outubro, 7.623 pessoas renovaram ou fizeram a associação e a arrecadação chegou a US$ 314 mil, segundo a newsletter da entidade.
Golpes, apps falsos e onde ler fanfic com o AO3 fora
A pausa abriu espaço para golpistas. Em post de orientação no Tumblr, a OTW avisa que nenhum site, espelho ou aplicativo dá acesso ao AO3 agora, porque não há cópia acessível dos servidores. O AO3 não tem app oficial; os de Android são de terceiros e dependem do site. A entidade alerta para quem oferece "acesso privado", pede dados para vagas de "testador" ou cobra para "ajudar a trazer o AO3 de volta". Doação legítima passa só por otw.org/donate.
Enquanto isso, leitores migram. O CNET cita Wattpad e FanFiction como paliativo, e comunidades como o r/DeletedFanfiction, no Reddit, e grupos no Bluesky compartilham obras baixadas antes da queda. Histórias salvas no aparelho seguem legíveis e o Wayback Machine pode ter guardado algumas, mas a leitura fora do AO3 não soma kudos nem visualização para o autor.
O que fazer agora, para quem tem conta:
- Troque a senha onde ela era igual à do AO3, começando por e-mail e redes sociais.
- Use senhas únicas e um gerenciador de senhas, como recomenda a OTW.
- Siga só otwstatus.org e os perfis de status da OTW no Bluesky e no Tumblr.
- Quando o site reabrir, baixe uma cópia das suas obras e rascunhos.
A próxima referência é a data mínima de duas semanas, por volta desta quinta-feira (12). Se o AO3 voltar, a OTW diz que a primeira etapa pode ser em modo limitado, sujeita a novas paradas até o fim do reparo.
