AO3 fora do ar por ataque: troque a senha repetida

O Archive of Our Own, o AO3, está fora do ar desde a madrugada de 29 de outubro, e o motivo é pior que uma manutenção comum. A Organization for Transformative Works (OTW), a ONG que mantém o site, confirmou um incidente de segurança e disse que a volta deve levar pelo menos duas semanas, podendo chegar a quatro.

Pra quem não conhece, o AO3 é o maior arquivo de fanfics da internet, com mais de 11 milhões de usuários e 18 milhões de obras, segundo a Wired. Se você tem conta lá, a parte que importa agora é a senha. O resto da história ajuda a entender por quê, e é parecido com o que vimos no caso das extensões do Chrome que sequestram a pesquisa: o estrago real costuma vir depois, quando alguém reaproveita o que vazou.

Como o AO3 saiu do ar

Na quinta, 29, o site entrou em manutenção com previsão de umas 12 horas. Ainda no mesmo dia, a conta de status mudou o tom e passou a falar em cerca de duas semanas, talvez até quatro. Muita gente achou que era só sobrecarga, até que a OTW publicou no Tumblr e depois no site oficial a frase que explicou a demora: a equipe tinha detectado “evidência de um incidente de segurança”.

Como essa mesma semana teve uma correria de sites atualizando por causa de falhas graves no PHP, muita gente ligou uma coisa à outra. A OTW negou à CNET, segundo a 404 Media, porque o AO3 roda em Ruby on Rails, e não em PHP.

O que a OTW confirmou sobre os seus dados

Primeiro a notícia boa: nada foi apagado. Obras, favoritos, comentários e kudos estão preservados, segundo o comunicado. Os dados de doação ficam em outro sistema e não foram expostos, e o AO3 não coleta nome real de ninguém.

Só que a OTW também foi honesta sobre o que ainda não sabe. A organização diz que não acredita que o banco de usuários tenha sido roubado, mas que ainda não pode descartar isso. E esse banco guarda nome de usuário, e-mail, endereço de IP e a senha em formato de hash, que é uma versão embaralhada da senha e não o texto puro.

O hash atrapalha bastante quem tenta descobrir a senha, mas não faz milagre com senha curta ou muito comum. E foi por isso que a própria OTW pediu que todo mundo troque a senha em outros sites onde usava a mesma combinação do AO3.

O que fazer com a sua conta agora

A primeira coisa é lembrar onde mais você usava aquela senha. Se ela se repetia no e-mail, no Discord, no Tumblr ou em qualquer loja, troque nesses lugares primeiro, começando pelo e-mail, porque é ele que recupera todas as outras contas. Não precisa esperar o AO3 voltar pra isso.

Aí vale aproveitar o susto pra arrumar a casa. Um gerenciador de senhas como o Bitwarden cria uma senha diferente pra cada site, então um vazamento num lugar não abre os outros. E onde der, ligue o login em duas etapas com um app autenticador no lugar do SMS.

Se você quer ir um passo além nas contas mais importantes, uma chave de segurança física resolve o problema do phishing, porque ela só confirma o login no site verdadeiro. Não é um acessório barato e pode ser exagero pra quem só lê fanfic, mas compensa pra quem cuida de e-mail principal, banco ou contas de trabalho.

Por último, desconfie de qualquer e-mail sobre o AO3 nas próximas semanas. Golpista adora notícia grande, e mensagem pedindo pra “confirmar a conta” ou “recuperar suas obras” por link é um jeito clássico de pescar senha. Acompanhe só os canais oficiais, que são a conta @AO3_Status e o site da OTW.

Quando o site volta

A OTW fala em no mínimo duas semanas e até quatro. Ela avisou ainda que o AO3 pode voltar antes num estado limitado, só pra leitura ou com recursos desligados, e que pode sair do ar de novo enquanto a equipe termina o trabalho. Vale lembrar que o site é mantido por voluntários e doações, como explicou o TechCrunch, então não espere a velocidade de uma big tech.

Como a comunidade está lidando

Enquanto isso, os fãs se viram como podem. A Wired contou que leitores estão montando “guias de sobrevivência” no Google Docs com links de histórias baixadas, organizados por casal, e um dos arquivos ficou difícil de abrir por excesso de acesso.

Já a 404 Media ouviu autores que mudaram de casa temporariamente. Um escritor que assina Selkie Myth disse que vai postar no SpaceBattles enquanto isso e torcer pra lembrar de levar os capítulos de volta ao AO3, porque a história deve terminar durante a queda. O Sufficient Velocity colocou um banner dando boas vindas aos “refugiados” do AO3, e o Wattpad até ofereceu ajuda no X, mas a maioria das respostas mandou a plataforma embora.

Uma autora deu o conselho mais útil de todos: se você ama uma história, deixe kudos, comente e baixe uma cópia, porque coisa na internet some num piscar de olhos. Quando o AO3 voltar, o próprio site permite baixar obras em EPUB ou PDF. Você já tinha o costume de salvar suas fanfics favoritas ou vai começar agora? E se a semana te deixou com vontade de revisar o resto, o caso da extensão do Claude Code com backdoor mostra outro jeito comum de senha e chave irem parar na mão errada.

Imagem de capa: página de manutenção do AO3 durante o incidente, via Archive of Our Own

Recomendados pra você

DicaPendrive falso: como testar a capacidade realUm especialista em segurança comprou 12 pendrives baratos de 1 e 2 TB e todos eram falsos; um de "2 TB" tinha 62 GB. Como o golpe funciona, os programas grátis que mostram a capacidade real (ValiDrive, H2testw e f3) e o que fazer se o seu for um deles.GuiaComo tirar anúncios da Android TV de graçaO CleanYourTV (ex tv-vibehack) remove anúncios e bloat da Android TV ou Google TV pelo Wi-Fi, sem root, e troca a home por um launcher estilo Apple TV. Reversível em um comando.GuiaComo usar DLSS 5 em placa AMD Radeon de graçaO mod grátis DLSS-NR on AMD chegou à versão 0.8.0 e leva DLSS 5, Frame Generation, Ray Reconstruction e Super Resolution pra Radeon RX 9000 e 7000 (a RX 6000 por enquanto só ganha o DLSS 5). Precisa de Windows 11 e não roda em jogo com anti-cheat.GuiaREA: como testar a IA que desmonta qualquer programaO REA liga Claude Code, Codex e Cursor a Ghidra, Hopper e IDA pra entender apps sem código-fonte. Passou de 400 mil estrelas no GitHub. Veja como funciona, os riscos legais e como testar.