Resumen

  • La ruta de recuperación que publica Internet Archive cabe en una frase: elegir Forgot your password? y esperar instrucciones por correo. Ninguna página consultada explica cómo activar un segundo factor distinto.
  • Los dos textos que la institución dedicó al ataque llevan el 9 y el 14 de octubre de 2024 en sus direcciones, pero su texto de editor no pudo leerse aquí: el aviso queda fuera del alcance de cualquier comparación con el centro de ayuda.

Internet Archive (archive.org, AS7941) es una institución peculiar para custodiar credenciales. Se gana la vida guardando el material ajeno —libros, películas, páginas web, el sedimento lento de la web abierta— y pide a quien lo usa un correo y una contraseña. Esa suma lo convierte en depositario por partida doble: de las colecciones y del relato sobre ellas. Cuando el segundo es más delgado que el primero, la factura la pagan las personas cuyas contraseñas dormían allí.

Empiece por lo que el depositario publica para quien perdió el acceso. La página de solución de problemas de cuentas es clara y útil: seleccionar Forgot your password? en la pantalla de acceso, y «You will receive an email with instructions on how to reset your password» (Cuentas – Consejos y solución de problemas). La misma página lleva al usuario conectado a la configuración de la cuenta, donde se vuelve a escribir la contraseña antes de que Change Account Settings abra los datos.

La guía compañera dice cómo se entra. Son tres vías: «a) use your email and password, b) sign in via Google, or c) receive a one time code to your email» (Cuentas – Guía básica). La frase merece detenimiento, porque fija cuánto depende la cuenta de un buzón. El código enviado por correo es una alternativa a la contraseña, no un añadido. La recuperación pasa por la misma dirección. La guía enumera lo que el titular puede cambiar en la configuración —nombre visible, dirección de correo— y en ningún punto indica cómo habilitar un segundo factor separado. Eso no demuestra que el servicio carezca de uno. Significa que un lector que sigue la documentación del archivo no tiene nada que encender.

El registro visual es anterior a la pregunta. Una captura oficial del centro de ayuda muestra una página de configuración con «Change Password», «New Password» y «Confirm Password» y un botón Change (captura de configuración de cuenta). Está en un artículo que el centro de ayuda marca como actualizado el 10 de junio de 2019, y muestra una opción para borrar el historial de préstamos que la guía actual dice inexistente. La imagen más nítida del control de contraseña tiene siete años y se contradice a sí misma: es documentación, no inventario.

El destino se niega a dejarse comprobar. La dirección de configuración devuelve un aviso que exige JavaScript, no una superficie de cuenta (configuración de cuenta de archive.org). No se inspeccionó ninguna interfaz autenticada, así que nada aquí establece qué controles están vivos hoy. Lo que sí queda establecido es más estrecho y más útil: la página que zanjaría la duda no se puede leer fuera de una sesión de navegador, lo que deja el texto de ayuda como única prueba de cuenta que cualquiera puede sopesar.

Llega el expediente del incidente. El archivo sí publicó sobre el ataque, en dos direcciones cuyo camino lleva el 9 y el 14 de octubre de 2024 — A Message from Brewster Kahle y Update on the Recent Cyberattack. Al abrirlas para este trabajo, ninguna se mostró como texto del editor; en su lugar había un resumen, no las palabras del archivo. Un lector con un navegador corriente probablemente verá ambos textos completos, y debería ir a mirarlos. El límite es exacto y pesa: el instrumento de aviso —población nombrada, fecha de notificación, instrucción dada— no pudo citarse ni ponerse junto al centro de ayuda, de modo que las dos mitades del expediente nunca coincidieron en el mismo marco donde un tercero pudiera confrontarlas.

Se intentó una comprobación independiente. Una búsqueda de una declaración de brecha de datos presentada ante la fiscalía general de un estado y que nombrara a Internet Archive no devolvió ningún documento candidato.

Un resultado vacío no es una ausencia: significa que el rastro no operador, el que habría permitido que el expediente de un regulador hablara por el archivo, no apareció, y el relato del depositario sigue siendo el único a mano.

Pongamos la prueba en claro.

A quién se avisó: ningún documento citable aquí lo dice.

En qué fecha: solo las dos direcciones de octubre de 2024.

Con qué instrumento: una entrada de blog cuyo texto no era legible para este trabajo.

Con qué instrucción: el procedimiento permanente de restablecimiento, que vale para cualquier día y no notifica ninguno en particular.

Y la reparación duradera —lo que permitiría al titular actuar en vez de esperar— toma la forma de un formulario de contraseña fechado en 2019, sin nada publicado que explique cómo añadir un segundo cerrojo.

Los trabajos anteriores de BTW sobre esta institución, incluido un artículo de investigación de julio de 2026 que trataba la crisis de 2024 como varios riesgos distintos que exigían respuestas distintas, preguntaban qué falló y qué se reconstruyó. Este plantea la pregunta más estrecha: qué recibió realmente una persona cuyas credenciales estaban en la brecha.

Dos documentos cambiarían la clasificación, y ninguno es caro.

El primero es el aviso mismo, republicado o enlazado en una forma que un tercero pueda leer, nombrando a los afectados y la instrucción recibida.

El segundo es una línea de documentación que explique cómo activar un segundo factor, si existe: la diferencia entre una protección y una promesa.

Mientras no existan en forma comprobable, el expediente de cuenta del archivo se reduce a un correo de restablecimiento y a un formulario de la década pasada, y el deber hacia quienes le confiaron sus contraseñas se cumple en privado. Un depositario que publica sus fallos de una forma que nadie puede citar no ha sido sorprendido ocultando algo. Eligió el expediente barato, y ese expediente se citará mientras existan sus colecciones.