摘要

  • 互联网档案馆公布的找回路径只有一句话：在登录页选择 Forgot your password?，然后等待邮件里的重置说明。查阅过的帮助页面里，没有任何一页说明如何开启独立的第二因子。
  • 该机构关于这次攻击的两篇博文，地址里写着 2024 年 10 月 9 日和 10 月 14 日，但本次查证未能读到其发布者原文；这意味着通知本身无法与帮助中心记录并置对照。

互联网档案馆（archive.org，AS7941）是一种特殊的凭据保管者。它以保存他人的东西为业——图书、影片、网页，以及开放网络缓慢沉积下来的那层沉淀物——同时向使用者索要一个邮箱和一组密码。这种叠加使它成为双重保管人：保管藏品，也保管关于藏品的叙述。当后一层比前一层更薄时，账单会落到那些密码仍留在里面的人身上。

先看保管人给失去访问权的人准备了什么。帮助中心的账户疑难排查页面简单而实用：在登录页选择 Forgot your password?，然后“You will receive an email with instructions on how to reset your password”（账户——提示与疑难排查）。同一页面把已登录用户带到账户设置：需要再次输入密码，Change Account Settings 才打开账户信息。

配套指南说明人是怎么进去的。三条路径：“a) use your email and password, b) sign in via Google, or c) receive a one time code to your email”（账户——基础指南）。这句话值得停一下，因为它决定了账户安全对收件箱的依赖程度。邮件一次性验证码是密码的替代路线，不是叠加在密码之上的第二道锁；找回流程走的也是同一个邮箱。同一份指南列出了持有人可以在设置里改的东西——显示名、邮箱地址——却通篇没有说明如何启用独立的双重验证。这不能证明该服务不存在这项功能，但确实意味着：一个照着档案馆自己文档操作的读者，没有任何开关可以按下。

视觉记录比问题本身更老。一张官方帮助中心截图显示，设置页上有“Change Password”“New Password”“Confirm Password”三个字段和一个 Change 按钮（账户设置截图）。它所在的那篇文章，帮助中心标注的更新日期是 2019 年 6 月 10 日；图上还有一个删除借阅历史的选项，而现行账户指南说该历史无法删除。关于密码控制最清晰的一张图，来自七年前，且自我矛盾——那是文档，不是清单。

目标页面本身拒绝被检查。设置地址返回的是一则要求启用 JavaScript 的提示，而不是账户界面（archive.org 账户设置）。本次没有检视任何已登录界面，因此这里不能确立今天究竟有哪些控制处于启用状态。被确立的东西更窄，也更有用：唯一能一锤定音的那一页，在浏览器会话之外读不到，于是帮助文本成了任何人唯一能权衡的账户侧证据。

再说事件记录。档案馆确实在自己的博客上谈过这次攻击，两个地址的路径里分别带着 2024 年 10 月 9 日与 10 月 14 日——A Message from Brewster Kahle 与 Update on the Recent Cyberattack。本次核查时，两篇都没有以发布者原文呈现，替代位置放的是一段摘要，不是档案馆自己的话。用普通浏览器打开的读者大概能读到全文，也应该去读。限制是具体的，而且要紧：通知这件工具——点名的人群、通知的日期、给出的指令——无法被引用，也就无法与帮助中心并排放进同一个可供第三方比对的位置。

还做了一次独立核对。检索是否存在一份向州总检察长提交、并点名互联网档案馆的数据泄露申报，没有返回任何候选文件。零结果不等于不存在；它意味着那条能让监管机构档案替档案馆说话的非运营方记录没有找到，而保管人自己的叙述仍是手边唯一的叙述。

把这项检验摊开来看。告知了谁：没有任何可引用的文件说过。哪一天：只有 2024 年 10 月的那两个地址。以什么文书：一篇本次读不到正文的博文。给了什么指令：常设的密码重置说明——它对每一天都成立，因此不通知任何特定的一天。至于持久修复，那部分能让持有人动手而不是祈祷的东西，是一张 2019 年的密码表单，以及一份并不存在的“如何加第二道锁”的说明。BTW 此前关于这家机构的报道——包括 2026 年 7 月一篇把 2024 年危机视为数种不同风险、需要不同应对的研究文章——问的是哪里失败、什么被重建。本文问的是那些文章没问的更窄问题：凭据落在泄露里的那个人，实际拿到了什么。

有两份文件会改变这个分类，而且都不贵。第一份是通知本身，以第三方可读的形式重新发布或链接出来，点明受影响的人以及被告知要做什么。第二份是一行说明，讲清楚如果存在第二因子，该怎么开启——这是保护与保证之间的差别。在它们以可核验的形式出现之前，档案馆的账户记录只剩一封重置邮件和上一代人的一张表单，而它对自己保管的那些密码所负的义务，正在私下里结算。一个把故障以无人可引用的形式公布出来的保管人，并没有被抓到在隐瞒什么。它只是选了更便宜的那份记录，而那份更便宜的记录，会和它的藏品一样被长久引用。