Кратко

  • Опубликованный путь восстановления укладывается в одну фразу: выбрать Forgot your password? и ждать инструкций по почте. Ни одна просмотренная страница помощи не объясняет, как включить отдельный второй фактор.
  • Два текста, которые архив посвятил атаке, несут в своих адресах 9 и 14 октября 2024 года, однако авторский текст здесь не читался, поэтому само уведомление сравнить со справкой не удалось.

«Интернет-архив» (archive.org, AS7941) — странная институция для хранения учётных данных. Он зарабатывает на том, что держит чужое: книги, фильмы, веб-страницы, медленно оседающий осадок открытой сети. И одновременно требует от тех, кто им пользуется, адрес почты и пароль. Это совмещение делает его хранителем дважды: собраний и рассказа о собраниях. Когда второй тоньше первого, счёт приходит тем, чьи пароли там ещё лежали.

Начнём с того, что хранитель публикует для потерявшего доступ. Страница помощи по аккаунтам проста и полезна: выбрать Forgot your password? на странице входа, а дальше — инструкции по почте. Дословно там сказано: «You will receive an email with instructions on how to reset your password» (Аккаунты — советы и устранение неполадок). Та же страница ведёт вошедшего пользователя в настройки аккаунта, где пароль нужно ввести заново, прежде чем Change Account Settings откроет данные.

Сопутствующее руководство объясняет, как вообще попадают внутрь. Путей три: «a) use your email and password, b) sign in via Google, or c) receive a one time code to your email» (Аккаунты — базовое руководство). На этой фразе стоит задержаться: она определяет, насколько безопасность аккаунта зависит от почтового ящика. Одноразовый код по почте — альтернатива паролю, а не добавка к нему; восстановление идёт через тот же адрес. То же руководство перечисляет, что можно изменить в настройках — отображаемое имя, адрес почты, — и нигде не объясняет, как включить отдельный второй фактор. Это не доказывает, что такой функции нет. Это значит, что читатель, следующий документации архива, не находит выключателя.

Визуальный след старше самого вопроса. Официальный снимок экрана из справочного центра показывает страницу настроек с полями «Change Password», «New Password» и «Confirm Password» и кнопкой Change (снимок настроек аккаунта). Он помещён в статью, которую справочный центр отмечает как обновлённую 10 июня 2019 года, и изображает опцию удаления истории выдач, которой, по нынешнему руководству, не существует. Самая ясная картинка контроля пароля — семилетней давности и противоречит себе: это документация, а не опись.

Сам адрес назначения проверке не поддаётся. Ссылка на настройки возвращает уведомление с требованием JavaScript, а не интерфейс аккаунта (настройки аккаунта archive.org). Никакой авторизованный интерфейс не осматривался, поэтому здесь не установлено, какие средства защиты действуют сегодня. Установлено более узкое и более полезное: страница, которая закрыла бы вопрос, вне сессии браузера не читается, и потому текст помощи остаётся единственным свидетельством об аккаунте, которое кто угодно может взвесить.

Теперь след происшествия. Архив действительно высказался об атаке в своём блоге, по двум адресам, в пути которых стоят 9 и 14 октября 2024 года — A Message from Brewster Kahle и Update on the Recent Cyberattack. При открытии для этой работы ни один не отобразился как авторский текст; на их месте стояло резюме, а не слова архива. Читатель с обычным браузером, вероятно, увидит оба целиком — и стоит сходить посмотреть. Предел точен и весом: инструмент уведомления — названная группа, дата сообщения, данное указание — не удалось ни процитировать, ни положить рядом со справкой, поэтому две половины отчёта так и не встретились в одной рамке, где третья сторона могла бы их сопоставить.

Одна независимая проверка была предпринята. Поиск уведомления об утечке данных, поданного генеральному прокурору одного из штатов и называющего «Интернет-архив», не дал документов-кандидатов. Нулевой результат не означает отсутствия: он означает, что независимый от оператора след, который позволил бы делу надзорного органа говорить за архив, не найден, и рассказ хранителя остаётся единственным под рукой.

Разложим проверку ровно. Кого уведомили: ни один цитируемый здесь документ не говорит. В какую дату: только два октябрьских адреса 2024 года. Каким инструментом: записью в блоге, текст которой для этой работы был нечитаем. С каким указанием: с постоянной процедурой сброса, годной на любой день и потому не сообщающей ни об одном конкретном. А прочное исправление — то, что позволило бы владельцу действовать, а не надеяться, — это форма пароля 2019 года и ничего опубликованного о том, как добавить второй замок.

Прежние материалы BTW об этой институции, включая исследовательскую статью июля 2026 года, где кризис 2024-го разбирался как несколько разных рисков с разными ответами, спрашивали, что отказало и что отстроили. Здесь вопрос уже: что человек, чьи учётные данные были в утечке, получил на руки.

Два документа изменили бы классификацию, и ни один не дорог. Первый — само уведомление, переопубликованное или сведённое ссылкой в форме, доступной третьей стороне: с названными затронутыми и полученным указанием. Второй — строка в документации, объясняющая, как включить второй фактор, если он есть: разница между защитой и заверением. Пока ни того, ни другого нет в проверяемой форме, отчёт об аккаунте состоит из письма о сбросе и формы из прошлого десятилетия, а обязанность перед теми, чьи пароли он хранит, улаживается в частном порядке. Хранитель, публикующий свои сбои в форме, которую никто не может процитировать, не пойман на сокрытии.

Он выбрал более дешёвый отчёт, и этот отчёт будут цитировать, пока существуют его собрания.