AO3, 보안 사고로 최대 4주 서비스 중단
원제: Fan-fiction site Archive of Our Own (AO3) could be offline for up to 4 weeks after security incident
왜 중요한가
자원봉사 기반 비영리 플랫폼도 대규모 보안 사고에서 자유롭지 않음을 보여주며, 중소 문화 플랫폼의 보안 체계 강화 필요성을 부각시킨다.
팬픽션 사이트 Archive of Our Own(AO3)이 2026년 10월 29일 보안 사고 감지 후 서비스를 중단했다. 운영 비영리단체 OTW는 복구에 2~4주가 걸릴 수 있으며, 사용자명·이메일·IP주소·해시 처리된 비밀번호가 포함된 DB 유출 가능성을 배제할 수 없다고 밝혔다.
AO3는 정기 점검을 위해 서비스를 내렸다가 보안 사고를 발견한 뒤 운영을 전면 중단했다. OTW는 공식 성명에서 "오늘 AO3에서 보안 사고의 증거를 발견했다"며 "현재 초기 대응 단계로, 범위를 파악 중"이라고 밝혔다. 복구 예상 기간은 약 2주이지만 최대 4주까지 길어질 수 있으며, 일부 기능이 제한된 상태로 먼저 재개될 가능성도 있다고 덧붙였다.
OTW는 사용자 데이터베이스가 탈취됐다고 현재로서는 판단하지 않지만 가능성을 완전히 배제할 수 없다고 인정했다. DB에는 사용자명, 이메일 주소, IP 주소, 업계 표준 방식으로 해시 처리된 비밀번호가 포함돼 있다. OTW는 예방 차원에서 동일한 비밀번호를 사용하는 다른 사이트에서도 비밀번호를 변경할 것을 권고했다.
AO3는 자원봉사자와 후원금으로 운영되는 비영리 프로젝트다. 서비스 중단 발표 2시간 만에 상태 페이지 게시물이 소셜미디어에서 수백만 회 조회되는 등 커뮤니티의 반응은 즉각적이었다. 한편 지난주 OpenAI와 Google Wiz 도구가 인터넷의 약 70%를 구동하는 프로그래밍 언어 PHP에서 두 가지 치명적 결함을 발견한 'PHP Armageddon' 사태와의 연관성을 묻는 시각도 있다. 그러나 AO3는 PHP가 아닌 Ruby on Rails 프레임워크로 구축돼 있어 관련성은 낮다.