要約

  • インターネット・アーカイブが公開している回復手順は一行に尽きる。ログイン画面で Forgot your password? を選び、メールで届く案内を待つ。確認したヘルプページのどこにも、独立した第二要素の有効化手順は書かれていない。
  • 同機関がこの攻撃について書いた記事は二本あり、アドレスに2024年10月9日と14日が入っている。ただし今回それを発行者本人の文章としては読めなかった。つまり通知そのものを、ヘルプセンターの記録と並べて照合できなかった。

インターネット・アーカイブ（archive.org、AS7941）は、資格情報を預かるには奇妙な種類の機関だ。他人の素材を預かって暮らしている。本、映画、ウェブページ、そして開かれたウェブがゆっくり堆積させたあの層である。その一方で、使う人にはメールアドレスとパスワードを求める。この重なりが、二重の保管者をつくる。コレクションの保管者であり、コレクションについての語りの保管者でもある。後者が前者より薄いとき、請求書はパスワードがまだそこに眠っていた人に回ってくる。

まず、アクセスを失った人のために保管者が何を出しているかを見る。ヘルプセンターのアカウントに関するトラブルシューティングのページは簡潔で役に立つ。ログイン画面で Forgot your password? を選べば、「You will receive an email with instructions on how to reset your password」が届く（アカウント——ヒントとトラブルシューティング）。同じページは、ログイン済みの利用者をアカウント設定へ導く。パスワードをもう一度入力してはじめて、Change Account Settings がアカウント情報を開く。

併走するガイドは、そもそもどう入るのかを説明している。三つの経路がある。「a) use your email and password, b) sign in via Google, or c) receive a one time code to your email」（アカウント——基本ガイド）。この一文は立ち止まる価値がある。アカウントの安全が受信箱にどれだけ依存するかを決めているからだ。メールで届くワンタイムコードはパスワードの代替経路であって、パスワードに積み増す第二の錠ではない。回復もまた同じアドレスを通る。同じガイドは設定で変更できる項目——表示名、メールアドレス——を並べるが、独立した二要素認証の有効化手順はどこにも書いていない。これはサービスにその機能がない証拠ではない。だが、機関自身の文書に従う読者にとって、押せるスイッチが一つもないという意味ではある。

視覚的な記録は、問いそのものより古い。公式ヘルプセンターのスクリーンショットには、設定画面の「Change Password」「New Password」「Confirm Password」と Change ボタンが写っている（アカウント設定のスクリーンショット）。それが載っている記事には、ヘルプセンター自身が2019年6月10日更新と記している。さらに図には貸出履歴の削除オプションが写っているが、現行のアカウントガイドはその履歴は削除できないとしている。パスワード管理について最も鮮明な画像は七年前のもので、しかも自己矛盾している。あれは文書であって、目録ではない。

当の遷移先は検証を拒む。設定のアドレスを開くと返ってくるのは JavaScript を要求する告知で、アカウント画面ではない（archive.org のアカウント設定）。ログイン済みの画面は一切確認していないので、今日どの制御が稼働しているかをここで確定することはできない。確定するのはもっと狭く、もっと有用なことだ。決着をつけるはずの一枚がブラウザのセッションの外からは読めない。だからヘルプの文章が、誰もが秤にかけられる唯一のアカウント側の証拠として残る。

次に事件の記録。この機関は攻撃について自らのブログで発信している。二つのアドレスの経路に2024年10月9日と14日が入っている——A Message from Brewster Kahle と Update on the Recent Cyberattack。今回の確認では、どちらも発行者の文章としては表示されず、代わりに置かれていたのは要約であって、機関自身の言葉ではなかった。普通のブラウザで開く読者なら両方を全文読めるだろうし、そうすべきだ。限界は具体的で、しかも効いてくる。通知という道具——名指された対象、通知の日付、与えられた指示——を引用できず、ヘルプセンターの隣に置けなかった。だから記録の両半分は、第三者が突き合わせられる同じ枠の中に一度も並ばなかった。

独立した確認も一度試した。州司法長官へのデータ侵害届であってインターネット・アーカイブを名指すものを探したが、候補文書は返ってこなかった。ゼロ件は不在ではない。規制当局の記録が機関に代わって語ることを可能にしたはずの、運営者以外の痕跡が見つからなかったという意味であり、保管者自身の語りが手元にある唯一の語りであり続けている。

試験を平らに並べてみる。誰に告げたか。引用できる文書は何も言っていない。いつの日付か。2024年10月の二つのアドレスだけである。どの文書で。今回本文を読めなかったブログ記事で。どんな指示で。常設の再設定手順であり、それはどの日にも当てはまるがゆえに、特定の一日を通知しない。そして持続する修復——保持者が祈るのではなく動けるようにする部分——は2019年のパスワード表单であり、第二の錠をどう付けるかを書いた公開物は存在しない。この機関について BTW が以前書いたもの、たとえば2024年の危機をそれぞれ別の対応を要する複数のリスクとして扱った2026年7月の調査記事は、何が壊れ、何が建て直されたのかを問うた。本稿はその残したより狭い問いを立てる。侵害に資格情報を置いていた人に、実際に手渡されたのは何だったのか。

分類を変える文書は二つあり、どちらも高くない。一つは通知そのもので、第三者があらゆる読者に引用できる形で再公開するかリンクし、影響を受けた人々と伝えた指示を明示する。もう一つは、第二要素が存在するならその有効化手順を書いた一行の文書であり、保護と保証の違いはそこにある。それらが検証できる形で存在するまで、この機関のアカウント記録は再設定メール一通と前の世代の表单一枚に尽き、預かったパスワードに対する義務は非公開で決済されている。誰も引用できない形で自らの失敗を公表する保管者は、何かを隠して捕まったのではない。より安い記録を選んだのであり、その安い記録はコレクションが続くかぎり引用され続ける。