AO3 incidente de seguridad es la frase que nadie en el archivo de fanfiction quería leer. Archive of Our Own entró en mantenimiento la madrugada del jueves 29 de octubre por unas 12 horas y no volvió: la Organization for Transformative Works (OTW), la organización sin fines de lucro que opera el sitio con voluntarios y donaciones, detectó indicios de una intrusión y decidió dejar la plataforma apagada entre dos y cuatro semanas mientras investiga qué pasó.
La propia OTW lo contó en su página de estado el 29 de octubre. Primero habló de un mantenimiento nocturno rutinario. Horas después alargó el plazo y publicó un comunicado más largo: hay evidencia de un incidente de seguridad, la respuesta está en una fase temprana y el alcance todavía se está determinando. AO3 seguirá fuera de línea mientras el equipo revisa y corrige lo encontrado.
AO3 incidente de seguridad: qué datos quedaron en duda
El punto que preocupa a los lectores es la base de datos de cuentas. La OTW afirmó que no cree que haya sido robada, pero tampoco puede descartarlo. Esa base guarda el nombre de usuario, la dirección de correo, la dirección IP y una versión cifrada con hash de la contraseña de cada cuenta. El hash es una técnica estándar de la industria: la clave no se guarda en texto claro, sino transformada, y revertirla exige un esfuerzo grande cuando la contraseña es fuerte.
El riesgo real aparece con las claves débiles o repetidas. Una contraseña corta y común se puede adivinar a partir de su hash con herramientas conocidas, y si esa misma clave abre el correo o una red social, el problema deja de ser de AO3 y pasa a ser del usuario en varios sitios a la vez. Por eso la recomendación práctica de la OTW fue directa: cambiar la contraseña en cualquier otro sitio donde se haya usado la misma de AO3, empezando por el correo asociado a la cuenta. Revisar si una dirección ya apareció en una filtración anterior y cambiar las claves reutilizadas tras un correo filtrado es el paso que ordena esa tarea sin esperar a que AO3 vuelva.
Hay un detalle incómodo: la contraseña de AO3 no se puede cambiar mientras el sitio esté apagado. La ventana de riesgo queda abierta hasta el regreso de la plataforma, y la defensa disponible hoy está fuera de AO3, en cada cuenta donde esa clave se repitió. Activar la verificación en dos pasos en el correo y en los servicios con dinero o datos personales reduce el daño si una clave vieja termina circulando.
Las obras están a salvo y el regreso puede ser parcial
La OTW también dejó un dato que calmó a la comunidad: ningún contenido se borró. Las obras publicadas, los marcadores y los reconocimientos conocidos como kudos siguen intactos, y la información de los donantes vive en un sistema separado que no quedó expuesto. El archivo es enorme: en septiembre de 2026 AO3 reunía más de 18,4 millones de obras en más de 82.900 comunidades de aficionados, datos citados por TechTimes en su cobertura del caso.
El tamaño ayuda a entender el plazo. Un equipo de voluntarios tiene que revisar la ruta de entrada del intruso, cerrarla y comprobar que no quedó otra puerta abierta antes de encender un servicio con millones de cuentas. Rebecca Tushnet, una de las fundadoras de la OTW, confirmó al New York Times que hubo una intrusión y que el trabajo consiste en reconstruir el camino usado por el atacante y asegurarse de que quedó eliminado.
Por qué el caso de PHP no explica esta caída
Parte de la comunidad sospechó un vínculo con las dos fallas críticas de PHP divulgadas días antes, el episodio que muchos llamaron el Armagedón de PHP y que afecta al lenguaje detrás de cerca del 70 % de la web. TechCrunch descartó esa pista con un dato simple: AO3 no corre sobre PHP, sino sobre Ruby on Rails, otro marco de trabajo para sitios web. La causa raíz de la intrusión sigue sin publicarse y la OTW no ha señalado a ningún responsable.
La página de estado de la OTW mantenía el sábado 31 de octubre a AO3 como una interrupción mayor, mientras los demás proyectos de la casa, entre ellos Fanlore y el sitio institucional, operaban con normalidad. La última actualización detallada seguía siendo la del jueves por la noche, sin fecha cerrada de regreso.
El plan de retorno admite una salida intermedia: el archivo puede volver antes en un estado degradado, con funciones limitadas o en modo de solo lectura, y puede volver a caer sin aviso si la recuperación exige otro corte. Dos semanas desde el 29 de octubre llevan al 12 de noviembre; cuatro semanas llevan al 26 de noviembre. Hasta que la OTW publique el alcance completo del incidente, la única cifra firme es esa: la biblioteca de fanfiction más grande del mundo lleva tres días apagada por decisión propia, esperando a que su propio equipo termine de revisar la casa por dentro.
Fuente: TechCrunch
