Ein illegales JavaScript-Popup im Internet Archive verkündete am Mittwochnachmittag, dass es auf der Website zu einem schwerwiegenden Datenverstoß gekommen sei. Wenige Stunden später bestätigte die Organisation den Vorfall.
Troy Hunt, ein langjähriger Sicherheitsforscher und Betreuer der Website Have I Been Pwned (HIBP) zur Meldung von Datenverstößen, bestätigte ebenfalls, dass der Verstoß legitim war. Er sagte, es sei im September passiert und der gestohlene Schatz habe 31 Millionen einzigartige E-Mail-Adressen sowie Benutzernamen, Bcrypt-Passwort-Hashes und andere Systemdaten enthalten. Auch Bleeping Computer, das den Verstoß als erstes gemeldet hatte, bestätigte die Gültigkeit der Daten.
Das Internetarchiv hat mehrere Anfragen nach Kommentaren von WIRED nicht beantwortet.
„Haben Sie jemals das Gefühl gehabt, dass das Internetarchiv auf USB-Laufwerken läuft und ständig am Rande einer katastrophalen Sicherheitsverletzung steht? » schrieben die Angreifer in der Popup-Nachricht des Internetarchivs vom Mittwoch. „Es ist einfach passiert. Sehen Sie 31 Millionen von Ihnen auf HIBP! »
Zusätzlich zu dem Verstoß und der Verunstaltung der Website hat das Internetarchiv mit einer Welle verteilter Denial-of-Service-Angriffe zu kämpfen, die seine Dienste zeitweise unterbrochen haben.
Der Gründer des Internet Archive, Brewster Kahle, gab das Update am Mittwochabend in einem Beitrag im sozialen Netzwerk X bekannt. „Was wir wissen: DDOS-Angriff – vorerst verschoben; Verunstaltung unserer Website über die JS-Bibliothek; Verletzung von Salt-verschlüsselten Benutzernamen/E-Mails/Passwörtern. Was wir getan haben: JS-Bibliothek deaktiviert, Systeme bereinigt, Sicherheit verbessert. Ich werde mehr teilen, sobald wir es wissen. „Scavenging-Systeme“ beziehen sich auf Dienste, die Schutz vor DDoS-Angriffen bieten, indem sie böswilligen unerwünschten Datenverkehr filtern, sodass er eine Website nicht überschwemmen und stören kann.
Das Internet Archive war in der Vergangenheit zahlreichen aggressiven DDoS-Angriffen ausgesetzt, unter anderem Ende Mai. Kahle schrieb am Mittwoch: „Der DDoS-Angriff von gestern auf @internetarchive wurde heute wiederholt. Wir arbeiten daran, http://archive.org wieder online zu stellen. Die als BlackMeta bekannte Hacktivistengruppe übernahm die Verantwortung für die DDoS-Angriffe dieser Woche und sagte, sie plane, weitere Angriffe gegen das Internet Archive durchzuführen. Der Urheber des Datenverstoßes ist jedoch noch nicht bekannt.
Das Internetarchiv war in den letzten Monaten an vielen Fronten mit Kämpfen konfrontiert. Neben wiederholten DDoS-Angriffen steht die Organisation auch vor wachsenden rechtlichen Herausforderungen. Sie hat kürzlich eine Berufung verloren Hachette c. Internetarchiveine Klage von Buchverlagen, die geltend machten, dass ihre digitale Leihbibliothek gegen das Urheberrecht verstoße. Nun droht ihm eine existenzielle Bedrohung in Form einer weiteren Urheberrechtsklage, diesmal von Musiklabels, die zu einem Schadensersatz von bis zu 621 Millionen US-Dollar führen könnte, wenn das Gericht gegen die Archive entscheidet.
Hunt von HIBP sagt, er habe die gestohlenen Daten erstmals am 30. September vom Internet Archive erhalten, sie am 5. Oktober überprüft und die Organisation am 6. Oktober benachrichtigt. Er sagte, die Gruppe habe ihm den Verstoß am nächsten Tag bestätigt und er plane, die Daten in HIBP zu laden und werde seine Abonnenten am Mittwoch über den Verstoß informieren. „Sie werden beeinträchtigt und DDoS-Angriffen ausgesetzt, genau wie die Daten in HIBP geladen werden“, schrieb Hunt. „Der Zeitpunkt dieses letzten Punktes scheint völlig zufällig zu sein.“
Hunt fügte außerdem hinzu, dass er die Gruppe zwar ermutigt habe, den Datenschutzverstoß öffentlich bekannt zu geben, bevor HIBP-Meldungen herausgegeben wurden, mildernde Umstände die Verzögerung jedoch erklären könnten.
„Natürlich hätte ich diese Enthüllung gerne viel früher gesehen, aber da ich weiß, wie sehr sie angegriffen werden, denke ich, dass jeder ihnen etwas Luft zum Atmen geben sollte“, schrieb Hunt. „Dies ist eine gemeinnützige Organisation, die großartige Arbeit leistet und einen Service bietet, auf den viele von uns sehr vertrauen.“