Resumo

  • O caminho de recuperação publicado pelo Internet Archive cabe numa frase: escolher Forgot your password? e esperar as instruções por e-mail. Nenhuma página consultada explica como ativar um segundo fator separado.
  • Os dois textos que a instituição escreveu sobre o ataque trazem 9 e 14 de outubro de 2024 nos endereços, mas seu texto de editor não pôde ser lido aqui: o aviso fica fora do alcance de qualquer comparação com o centro de ajuda.

O Internet Archive (archive.org, AS7941) é uma instituição estranha para guardar credenciais. Vive de guardar o material dos outros — livros, filmes, páginas da web, o sedimento lento da web aberta — e pede a quem usa um e-mail e uma senha. Essa soma o torna guardião duas vezes: das coleções e do relato sobre elas. Quando o segundo é mais fino que o primeiro, a conta chega às pessoas cujas senhas ainda dormiam ali.

Comece pelo que o guardião publica para quem perdeu o acesso. A página de solução de problemas de contas é simples e útil: selecionar Forgot your password? na tela de login e «You will receive an email with instructions on how to reset your password» (Contas – Dicas e solução de problemas). A mesma página leva o usuário conectado às configurações da conta, onde a senha é digitada de novo antes de Change Account Settings abrir os dados do cadastro.

O guia companheiro diz como se entra. São três caminhos: «a) use your email and password, b) sign in via Google, or c) receive a one time code to your email» (Contas – Guia básico). A frase merece uma pausa, porque define o quanto a conta depende de uma caixa de entrada. O código enviado por e-mail é alternativa à senha, não acréscimo a ela. A recuperação passa pelo mesmo endereço. O mesmo guia lista o que o titular pode mudar nas configurações — nome de exibição, endereço de e-mail — e em nenhum ponto ensina a habilitar um segundo fator separado. Isso não prova que o serviço não tenha um. Significa que um leitor que segue a documentação do arquivo não tem nada para ligar.

O registro visual é mais velho que a pergunta. Uma captura oficial do centro de ajuda mostra uma página de configurações com «Change Password», «New Password» e «Confirm Password» e um botão Change (captura de configurações da conta). Ela está num artigo que o centro de ajuda marca como atualizado em 10 de junho de 2019, e mostra uma opção de apagar o histórico de empréstimos que o guia atual diz não existir. A imagem mais nítida do controle de senha tem sete anos e se contradiz: é documentação, não inventário.

O destino se recusa a ser conferido. O endereço de configurações devolve um aviso que exige JavaScript, não uma tela de conta (configurações da conta do archive.org). Nenhuma interface autenticada foi inspecionada, então nada aqui estabelece quais controles estão ativos hoje. O que fica estabelecido é mais estreito e mais útil: a página que resolveria a dúvida não pode ser lida fora de uma sessão de navegador, o que deixa o texto de ajuda como a única prova de conta que qualquer um pode pesar.

Chega o dossiê do incidente. O arquivo publicou sobre o ataque no próprio blog, em dois endereços cujo caminho carrega 9 e 14 de outubro de 2024 — A Message from Brewster Kahle e Update on the Recent Cyberattack. Ao abrir os dois para este trabalho, nenhum apareceu como texto do editor; no lugar havia um resumo, não as palavras do arquivo. Um leitor com navegador comum provavelmente verá os dois completos, e deveria ir olhar. O limite é exato e pesa: o instrumento de aviso — população nomeada, data da notificação, instrução dada — não pôde ser citado nem colocado ao lado do centro de ajuda, de modo que as duas metades do dossiê nunca se encontraram no mesmo quadro onde um terceiro pudesse confrontá-las.

Uma checagem independente foi tentada. A busca por uma declaração de violação de dados protocolada junto à procuradoria-geral de um estado e que nomeasse o Internet Archive não devolveu documento candidato. Resultado zero não é ausência: significa que o rastro não operador, aquele que permitiria ao dossiê de um regulador falar pelo arquivo, não foi encontrado, e o relato do guardião segue sendo o único à mão.

Ponha a prova em pratos limpos.

Quem foi avisado: nenhum documento citável aqui diz. Em que data: apenas os dois endereços de outubro de 2024. Por qual instrumento: um texto de blog cujo corpo não era legível para este trabalho. Com qual instrução: o procedimento permanente de redefinição, que vale para qualquer dia e não notifica nenhum em particular. E o reparo durável — a parte que permitiria ao titular agir em vez de esperar — tem a forma de um formulário de senha datado de 2019, e nada publicado que ensine a pôr um segundo cadeado.

Os trabalhos anteriores da BTW sobre esta instituição, incluindo um artigo de pesquisa de julho de 2026 que tratava a crise de 2024 como vários riscos distintos a exigir respostas distintas, perguntavam o que falhou e o que foi reconstruído. Este faz a pergunta mais estreita: o que recebeu, de fato, uma pessoa cujas credenciais estavam na brecha.

Dois documentos mudariam a classificação, e nenhum é caro. O primeiro é o próprio aviso, republicado ou ligado em forma que um terceiro possa ler, nomeando os atingidos e a instrução recebida. O segundo é uma linha de documentação explicando como ativar um segundo fator, se existir: a diferença entre proteção e promessa. Enquanto não existirem de forma conferível, o dossiê de conta do arquivo se resume a um e-mail de redefinição e a um formulário da década passada, e o dever com quem lhe confiou senhas é liquidado em particular.

Um guardião que publica suas falhas numa forma que ninguém consegue citar não foi pego escondendo algo. Escolheu o dossiê barato, e esse dossiê será citado enquanto durarem suas coleções.