AO3 遭入侵停站 1,200 萬用戶電郵密碼無法排除被盜

AO3 遭入侵停站：最少兩星期，最長可能四星期

據營運機構 Organization for Transformative Works（OTW）在香港時間 2026 年 10 月 30 日上午 9 時 27 分於狀態頁發出的公告，同人小說網站 Archive of Our Own（AO3）偵測到保安事故的證據，網站會維持停站調查，預計最少兩星期，最長可能四星期。AO3 在美國時間 10 月 29 日以維護為由下線，數小時後才公布原因。

AO3 由非牟利組織 OTW 營運，全靠義工和捐款維持。據《紐約時報》報道，網站收錄約 1,880 萬篇作品，涵蓋約 8.3 萬個同人圈子，用戶約 1,200 萬名。

可能外洩的資料：用戶名稱、電郵、IP 位址和密碼

OTW 在公告中表示，目前不相信用戶資料庫被盜，但「也無法排除」。資料庫內的帳戶資料可能包括用戶名稱、電郵地址、IP 位址，以及經雜湊處理的密碼（即用單向演算法轉換、難以還原的密碼）。

OTW 指所有作品、書籤和讚好（kudos）都沒有被刪除。AO3 不收集真實姓名，捐款者資料存放在完全獨立的系統，與 AO3 沒有連結，兩者都沒有外洩。

用戶應更改其他網站的相同密碼

OTW 承認，即使密碼經雜湊處理，弱密碼或重用的密碼仍有機會被破解，因此建議用戶把其他網站上與 AO3 相同的密碼全部更改。

OTW 又表示，停站期間可能先以功能不全或唯讀模式重開網站，但為了修復，網站亦可能突然再次關閉。

創辦人證實遭入侵，正追查攻擊路徑

OTW 創辦人之一、哈佛法學院學者 Rebecca Tushnet 在美國時間 10 月 30 日對《紐約時報》表示，AO3 確實遭到「入侵」，全義工團隊正「找出攻擊者使用的路徑，並確保已將其清除」。她說「沒有理由相信」資料庫曾被下載，團隊以安全優先，需要兩至四星期確保「沒有遺漏任何東西」。

TechCrunch 指，有用戶懷疑事件與 PHP 程式語言近期披露的嚴重漏洞有關，但 AO3 以另一套框架 Ruby on Rails 建成，相信關係不大。

互聯網檔案館 Wayback Machine 總監 Mark Graham 對《紐約時報》表示，停站這麼久「幾乎聞所未聞」，大量用戶轉往存檔版本，令 Wayback Machine 負荷沉重。AO3 在 2023 年 7 月曾遭黑客組織 Anonymous Sudan 發動分散式阻斷服務攻擊（即以大量流量癱瘓伺服器），當時停站 28 小時。

來源

• AO3 Down for Maintenance（原始文件）
• Fan-fiction site Archive of Our Own (AO3) could be offline for up to 4 weeks after security incident（TechCrunch）
• A “security incident” is behind AO3’s outage（The Verge）