요약

  • Internet Archive의 공개 도움말은 비밀번호를 잃은 이용자에게 로그인 화면에서 "Forgot your password?"를 고르고 메일로 재설정 안내를 받으라고 알려 준다. 그 문장은 그대로 인용할 수 있다. 다만 이 브리핑에서 그 메일을 실제로 받아 확인한 사람은 없다.
  • 계정 보호 화면을 보여 주는 공개 자료는 2019년 6월 10일에 갱신된 문서 속 스크린샷 한 장이다. 현재 안내문 어디에도 별도의 2단계 인증을 켜는 절차는 적혀 있지 않다.
  • 기관은 2024년에 사고 경위를 자기 블로그에 남겼지만, 누가 어느 날 어떤 지시와 함께 통지받았는지 보여 주는 문서는 확보되지 않았다.

안내는 남아 있다. 다만 한 사람 몫이다

Internet Archive의 도움말 「Accounts – Tips & Troubleshooting」는 접근 권한을 잃은 이용자에게 로그인 화면의 Forgot your password? 를 고르라고 하고, 그다음에 올 일을 이렇게 적는다. "You will receive an email with instructions on how to reset your password." Internet Archive Help Center, Accounts – Tips & Troubleshooting 페이지에는 게시일도 갱신일도 보이지 않는다. 재설정 메일을 실제로 받아 본 사람도 이 브리핑에는 없다. 그러니 인용할 수 있는 것은 문장이지, 그 문장이 지켜지는지 여부가 아니다.

같은 문서는 계정 설정으로 가는 길도 알려 준다. 로그인한 뒤 비밀번호를 한 번 더 입력하고 Change Account Settings 를 고르라는 것이다. 이 역시 실행해 본 절차가 아니라 설명이다.

여기까지 읽으면 이 글은 사고 대응 문서가 아니라 사용 설명서다. 재설정 안내는 한 사람의 잠긴 문을 여는 데 쓰인다. 그 문이 왜 잠겼는지, 누가 언제 그 사실을 알아야 하는지는 말하지 않는다.

복구와 로그인이 같은 우편함을 지난다

「Accounts – A Basic Guide」는 계정에 들어가는 방법을 세 가지로 적는다. 이메일과 비밀번호, Google 계정을 통한 로그인, 계정 이메일로 받는 일회용 코드다. Internet Archive Help Center, Accounts – A Basic Guide 공개된 세 갈래 가운데 두 갈래가 같은 우편함을 통과한다. 재설정 안내도 그 우편함으로 온다. 계정을 되찾는 길과 계정에 들어가는 길이 한 접수처로 모인다는 뜻이고, 그 우편함이 흔들리면 두 길이 함께 흔들린다.

메일로 오는 일회용 코드를 두 번째 인증 요소로 읽기 쉽다. 이 안내문은 그것을 비밀번호 위에 얹는 추가 요소로 제시하지 않는다.

같은 문서는 화면 이름과 이메일 주소를 설정에서 바꾸는 방법은 친절히 알려 주면서, 별도의 2단계 인증을 켜는 절차는 싣지 않는다. 안내문이 조용하다고 해서 서비스에 그런 장치가 없다는 뜻은 아니다. 다만 안내문을 읽는 사람이 따라 할 것이 없다는 사실은 남는다.

확인 가능한 화면은 다섯 해 전의 것이다

계정 화면을 실제로 보여 주는 공개 자료는 하나다. 도움말 센터 문서에 붙은 스크린샷에는 Change Password, New Password, Confirm Password 입력란과 Change 버튼이 찍혀 있다. Internet Archive Help Center, Account Settings screenshot 그 스크린샷을 담은 문서는 2019년 6월 10일에 갱신된 것으로 표시되어 있다. 화면에는 현재 안내문이 존재하지 않는다고 밝힌 대출 이력 삭제 항목도 함께 찍혀 있다. 두 문서가 어긋난다는 사실은 이 그림이 지금의 설정 목록이 아니라 그때의 기록이라는 것을 알려 준다.

계정 설정으로 연결된 주소를 확인했을 때 돌아온 것은 자바스크립트가 필요하다는 안내뿐이었다. archive.org account settings 그것은 접근의 한계이지, 어떤 보호 장치가 있고 없는지에 대한 증거가 아니다. 보지 못한 화면을 근거로 통제가 없다고 말하지 않는다. 대신 이렇게 말할 수 있다. 오늘 계정 소유자가 직접 켜고 검증할 수 있는 보호 장치를 설명하는 공개 문서가 안내문 안에 없다.

사고 기록은 주소에만 날짜를 남겼다

Internet Archive는 2024년에 사고 경위를 담은 글 두 편을 자기 블로그에 올렸다. 주소 자체가 각각 2024년 10월 9일과 10월 14일을 담고 있다. A Message from Brewster Kahle Update on the Recent Cyberattack on the Internet Archive 이 브리핑을 위해 그 두 주소의 본문은 기관의 문장으로 읽히지 않았다. 남은 것은 요약이었고, 요약은 기관의 기록이 아니다.

그래서 확인되는 것은 이만큼이다. 누가, 어느 날, 어떤 지시와 함께 통지받았는지 — 비밀번호 재설정인지, 세션 무효화인지, 두 번째 요소 등록인지 — 를 보여 주는 기관의 통지 문서는 이 브리핑에서 확보되지 않았다.

이것은 기관이 통지하지 않았다는 판정이 아니다. 통지를 확인할 도구가 손에 없다는 상태다.

독립 기록은 검색의 범위 안에서 비어 있었다

미국 주 검찰총장의 유출 신고서 가운데 Internet Archive를 지목한 문서를 찾는 검색은 후보를 하나도 돌려주지 않았다. 후보가 없다는 것은 그 검색이 찾지 못했다는 뜻이고, 신고가 없다는 증명이 아니다.

결과적으로 이 사안에서 손에 쥔 기록은 기관 자신의 기록뿐이다. 기관의 기록이 유일한 기록일 때 물음은 하나로 좁혀진다. 그 기록을 검증할 만큼 다른 것이 함께 공개되었는가.

책무는 인용 가능한 문서에 붙는다

재설정 안내는 거래다. 잠긴 사람과 잠근 사람 사이에서 한 번 오가고 끝난다. 통지는 유물이다. 밖의 사람이 꺼내 읽고 날짜를 확인하고 인용할 수 있어야 한다.

기관이 자기 블로그에 사고 경위를 적어 두는 일은 후자와 비슷해 보이지만 같지 않다. 경위는 기관의 서사이고, 통지는 수령인과 지시를 지목하는 문서다. 계정 소유자가 직접 켜고 검증할 수 있는 보호 장치는 그다음 단계다. 안내문에 절차가 없으면 소유자는 켤 것도, 확인할 것도 없다.

이 분류를 바꾸는 것은 새 변명이 아니라 새 문서다. 누가 affected 집단인지 밝힌 날짜 있는 통지, 그 통지에 담긴 구체적 지시, 그리고 소유자가 직접 켜고 검증할 수 있는 통제의 공개된 사용법. 이 세 가지가 같은 주소에 놓이는 순간, 지금의 판정은 과거의 사실이 된다. 그때까지 남는 것은 오늘 읽을 수 있는 문장뿐이다. 재설정 메일은 오겠지만, 무엇이 잘못되었고 무엇을 직접 켜야 하는지는 그 메일이 말해 주지 않는다. 이 기관의 기본 정보는 BTW 디렉터리의 Internet Archive 항목에 정리되어 있다.