Çarşamba öğleden sonra İnternet Arşivi’nde yasa dışı bir JavaScript açılır penceresi, sitenin büyük bir veri ihlaline uğradığını ilan etti. Saatler sonra örgüt olayı doğruladı.
Veri ihlali bildirimi web sitesi Have I Been Pwned’i (HIBP) yöneten uzun süreli güvenlik araştırmacısı Troy Hunt da ihlalin meşru olduğunu doğruladı. Olayın Eylül ayında meydana geldiğini ve çalınan hazinenin kullanıcı adları, bcrypt şifre karmaları ve diğer sistem verileriyle birlikte 31 milyon benzersiz e-posta adresi içerdiğini söyledi. İhlalin ilk haberini veren Bleeping Computer da verilerin doğruluğunu doğruladı.
İnternet Arşivi henüz WIRED’den çok sayıda yorum isteği geri göndermedi.
“İnternet Arşivi’nin çubuklar üzerinde çalıştığını ve sürekli olarak feci bir güvenlik ihlaline maruz kalmanın eşiğinde olduğunu hiç hissettiniz mi?” saldırganlar Çarşamba günkü İnternet Arşivi açılır mesajında şunları yazdılar. “Sadece oldu. HIBP’de 31 milyonunuzu görün!
İnternet Arşivi, ihlal ve site tahrifatının yanı sıra, hizmetlerini aralıklı olarak çökerten dağıtılmış hizmet reddi saldırıları dalgasıyla da boğuşuyor.
İnternet Arşivi kurucusu Brewster Kahle, Çarşamba akşamı X sosyal ağında yayınlanan bir gönderide genel bir güncelleme yaptı. “Bildiklerimiz: DDOS saldırısı – şimdilik savuşturuldu; JS kütüphanesi aracılığıyla web sitemizin tahrif edilmesi; kullanıcı adlarının/e-postanın/tuzlu şifreli şifrelerin ihlali. Ne yaptık: JS kütüphanesini devre dışı bıraktık, sistemleri temizledik, güvenliği yükselttik. Bildikçe daha fazlasını paylaşacağız.” “Süpürme sistemleri”, bir web sitesine akın etmemesi ve kesintiye uğramaması için kötü niyetli gereksiz trafiği filtreleyerek DDoS saldırısına karşı koruma sağlayan hizmetleri ifade eder.
İnternet Arşivi, Mayıs sonu da dahil olmak üzere geçmişte birçok kez agresif DDoS saldırılarıyla karşı karşıya kaldı. Kahle’nin Çarşamba günü yazdığı gibi: “Dün @internetarchive’a yapılan DDOS saldırısı bugün tekrarlandı. http://archive.org’u tekrar çevrimiçi hale getirmek için çalışıyoruz.” “BlackMeta” olarak bilinen hacktivist grup, bu haftaki DDoS saldırılarının sorumluluğunu üstlendi ve İnternet Arşivine karşı daha fazlasını yapmayı planladığını söyledi. Ancak veri ihlalinin faili henüz bilinmiyor.
İnternet Arşivi son aylarda birçok cephede çatışmalarla karşılaştı. Tekrarlanan DDoS saldırılarına ek olarak kuruluş, giderek artan hukuki zorluklarla da karşı karşıya kalıyor. Yakın zamanda temyiz başvurusunu kaybetti Hachette – İnternet Arşividijital ödünç verme kütüphanesinin telif hakkı yasasını ihlal ettiğini iddia eden kitap yayıncıları tarafından açılan bir dava. Şimdi, müzik şirketlerinden kaynaklanan başka bir telif hakkı davası şeklinde varoluşsal bir tehditle karşı karşıya. Mahkemenin arşiv aleyhine karar vermesi halinde 621 milyon dolardan fazla zararla sonuçlanabilecek.
HIBP’den Hunt, çalınan İnternet Arşivi verilerini ilk olarak 30 Eylül’de aldığını, 5 Ekim’de incelediğini ve 6 Ekim’de kuruluşu bu konuda uyardığını söyledi. Grubun ihlali kendisine ertesi gün doğruladığını ve yüklemeyi planladığını söyledi. Verileri HIBP’ye aktarın ve abonelerine Çarşamba günü ihlal hakkında bilgi verin. Hunt, “Veriler HIBP’ye yüklenirken tahrif ediliyorlar ve DDoS’leniyorlar” diye yazdı. “Son noktadaki zamanlama tamamen tesadüfi görünüyor.”
Hunt ayrıca, grubu HIBP bildirimleri yayınlanmadan önce veri ihlalini kamuya açıklamaya teşvik etse de hafifletici nedenlerin gecikmeyi açıklayabileceğini de sözlerine ekledi.
Hunt, “Açıkçası bu açıklamayı çok daha erken görmeyi isterdim, ancak ne kadar saldırı altında olduklarını anladığım için herkesin onlara biraz izin vermesi gerektiğini düşünüyorum” diye yazdı. “Harika işler yapan ve çoğumuzun büyük ölçüde güvendiği bir hizmet sunan, kâr amacı gütmeyen bir kuruluş.”