ファンフィク大手AO3、セキュリティ侵害で最大4週間停止
原題: Fan-fiction site Archive of Our Own (AO3) could be offline for up to 4 weeks after security incident
なぜ重要か
非営利・ボランティア運営の大規模サービスがセキュリティ対応の脆弱さを露呈した事例として、クリエイター向けプラットフォーム全体の運用体制が問われる。
ファン創作サイト「Archive of Our Own（AO3）」は2026年10月29日、セキュリティインシデントを検知したと発表した。定期メンテナンスとして一時停止した後、復旧には2〜4週間かかる見込みとなった。運営元の非営利団体Organization for Transformative Works（OTW）は、ユーザーデータベースの盗難を現時点では否定しつつも、完全には排除できないと説明している。
AO3は10月29日、定期メンテナンスとして夜間に一時停止したが、その後にセキュリティインシデントが検知されたことが判明した。OTWが公開した声明によると「現在も初期対応段階にあり、インシデントの範囲を調査中」とし、調査・対応が完了するまでサイトを停止し続けると説明した。
復旧には約2週間を見込むが、最大で4週間かかる可能性がある。OTWはより早い段階で「機能を制限した状態（degraded state）」での部分的な再開も目指すとしている。
ユーザーデータに関しては、AO3のデータベースにユーザー名・メールアドレス・IPアドレス・ハッシュ化されたパスワードが含まれると説明。現時点でデータベースが盗まれた証拠はないとしながらも、同じパスワードを他サービスで使い回しているユーザーには予防措置として変更を推奨した。
一部のユーザーは先週発覚した「PHP Armageddon」との関連を疑った。これはOpenAIとGoogle Wizのツールがインターネット上のウェブサイト約70%を動かすプログラミング言語PHPに2件の重大な脆弱性を発見した問題だ。しかしAO3はPHPではなくRuby on Railsで構築されており、今回の障害との関連性は低いとみられている。
AO3はOTWがボランティアと寄付によって運営する非営利プロジェクト。停止発表から2時間以内にステータスページの投稿がSNS上で数百万回表示されたことからも、サイトへのユーザーの強い関心が伺える。OTWとAO3はTechCrunchのコメント要請に応じていない。