AO3 เจอเหตุด้านความปลอดภัย ยังตัดไม่ได้ว่าฐานข้อมูลผู้ใช้ถูกขโมย แนะเปลี่ยนรหัสที่ใช้ซ้ำ

เมื่อวันก่อน AO3 บอกผู้ใช้เพียงว่าเว็บ "ปิดเพื่อบำรุงรักษา" แต่เช้าวันที่ 30 ต.ค. ตามเวลาไทย ประกาศใหม่ของทีมงานใช้คำที่ต่างออกไปมาก Organization for Transformative Works (OTW) องค์กรไม่แสวงกำไรที่ดูแลคลังแฟนฟิก Archive of Our Own เขียนว่า "เราตรวจพบหลักฐานของเหตุด้านความปลอดภัยบน AO3" และยังอยู่ในช่วงแรกของการตรวจสอบว่าเรื่องนี้กว้างแค่ไหน

ข่าวดีก่อน OTW ยืนยันว่าไม่มีข้อมูลบน AO3 ถูกลบ ผลงาน บุ๊กมาร์ก และคุโดส (ปุ่มให้กำลังใจนักเขียน) ยังอยู่ครบ ส่วนเรื่องที่ต้องรู้คือฐานข้อมูลบัญชีผู้ใช้ OTW เขียนว่า "ตอนนี้เราไม่เชื่อว่าฐานข้อมูลผู้ใช้ถูกขโมย แต่ก็ยังตัดความเป็นไปได้นี้ออกไม่ได้" ฐานข้อมูลนี้อาจมีชื่อผู้ใช้ อีเมล ที่อยู่ IP และรหัสผ่านในรูปที่ถูกแปลงแล้ว (hash)

การแปลงรหัสผ่านแบบนี้คล้ายการปั่นผลไม้เป็นน้ำปั่น ใครได้แก้วไปก็แยกกลับเป็นผลไม้ทั้งลูกไม่ได้ ต่างกันตรงที่ผู้ไม่หวังดีลองปั่นคำที่เดาไว้ทีละคำแล้วเทียบผลได้ทุกครั้ง รหัสที่สั้นหรือเดาง่ายจึงถูกจับคู่ได้ OTW เองก็ยอมรับว่า "ไม่มีวิธีแปลงรหัสผ่านแบบใดปกป้องรหัสผ่านที่อ่อนหรือใช้ซ้ำได้ทั้งหมด"

เรื่องนี้เกี่ยวกับทุกคนที่มีบัญชี AO3 ซึ่ง Gizmodo รายงานว่ามีผู้ใช้ลงทะเบียนกว่า 11 ล้านคน ความเสี่ยงหลักไม่ได้อยู่ที่ AO3 เอง แต่อยู่ที่บัญชีอื่นที่ใช้รหัสผ่านเดียวกัน เช่น อีเมล โซเชียล หรือร้านค้าออนไลน์ เพราะถ้ารหัสหลุดจริง คนร้ายมักเอาคู่อีเมลกับรหัสผ่านไปลองล็อกอินเว็บอื่นต่อ ส่วนชื่อจริงนั้น AO3 ไม่เก็บตั้งแต่แรก

สิ่งที่คุณทำได้ตอนนี้คือเปลี่ยนรหัสผ่านในทุกเว็บที่ใช้รหัสเดียวกับ AO3 โดยเริ่มจากบัญชีอีเมล แล้วเปิดการยืนยันตัวตนสองขั้น (2FA) ไว้ด้วย ส่วนตัวเว็บ AO3 คาดว่าจะปิดอย่างน้อย 2 สัปดาห์ และอาจนานถึง 4 สัปดาห์ ขั้นตอนเปลี่ยนรหัสและเปิด 2FA ข้อมูลไหนปลอดภัยหรือยังไม่ชัด และเรื่องที่ยังไม่มีใครตอบได้ อยู่ด้านล่าง

สรุปประเด็นสำคัญ

• จาก "บำรุงรักษา" เป็น "เหตุด้านความปลอดภัย": หน้าสถานะของ OTW ประกาศเมื่อ 30 ต.ค. 2026 เวลา 01:27 น. UTC (08:27 น. เวลาไทย) ว่าตรวจพบหลักฐานของเหตุด้านความปลอดภัย และยังอยู่ในช่วงแรกของการรับมือ
• ผลงานไม่หาย: OTW ยืนยันว่าไม่มีข้อมูลบน AO3 ถูกลบ ทั้งผลงาน บุ๊กมาร์ก และคุโดส
• ฐานข้อมูลผู้ใช้ยังไม่ชัด: OTW ไม่เชื่อว่าถูกขโมย แต่ตัดออกไม่ได้ ข้อมูลที่อยู่ในนั้นคือชื่อผู้ใช้ อีเมล ที่อยู่ IP และรหัสผ่านแบบแฮช ยังไม่มีรายงานว่าข้อมูลถูกนำไปเผยแพร่
• ไม่เกี่ยว: ชื่อจริง (AO3 ไม่เก็บ) และข้อมูลผู้บริจาค (อยู่คนละระบบ OTW ระบุว่าไม่ถูกเปิดเผย)
• สิ่งที่ควรทำ: เปลี่ยนรหัสผ่านในเว็บอื่นที่ใช้รหัสเดียวกับ AO3 ตามคำแนะนำของ OTW และเปิด 2FA ที่บัญชีอีเมล
• เว็บยังปิด: คาดว่าอย่างน้อย 2 สัปดาห์ อาจถึง 4 สัปดาห์ และอาจกลับมาแบบอ่านได้อย่างเดียวก่อน

OTW ประกาศอะไร คำต่อคำ

ประกาศนี้ลงทั้งในหน้าสถานะ otwstatus.org และเป็นโพสต์ "Update on AO3 Downtime, October 30, 2026" บนเว็บไซต์ของ OTW เนื้อหาตรงกันทุกคำ ReadEval แปลส่วนสำคัญไว้ดังนี้

"ก่อนหน้านี้ในวันนี้ เราตรวจพบหลักฐานของเหตุด้านความปลอดภัยบน AO3 เรายังอยู่ในช่วงแรกของการรับมือและการหาขอบเขตของเหตุนี้ AO3 จะยังปิดอยู่ระหว่างที่เราตรวจสอบและแก้ไขสิ่งที่พบ"

"แม้ตอนนี้เราไม่เชื่อว่าฐานข้อมูลผู้ใช้ถูกขโมย แต่เราก็ไม่สามารถตัดความเป็นไปได้นี้ออกไปได้"

"เพื่อความไม่ประมาท เราแนะนำให้คุณเปลี่ยนรหัสผ่านในเว็บไซต์อื่นใดก็ตามที่คุณใช้รหัสผ่านเดียวกับบน AO3"

OTW ไม่ได้บอกว่าตรวจพบเมื่อกี่โมง ไม่ได้บอกว่าเหตุเกิดจากอะไร และไม่ได้บอกว่าการปิดเว็บตั้งแต่ 29 ต.ค. เริ่มจากเหตุนี้หรือไม่ ทีมงานบอกด้วยว่าอาจตอบคำถามของผู้ใช้เป็นรายคนไม่ได้ และจะแจ้งความคืบหน้าครั้งต่อไปเมื่อมีข้อมูลเพิ่ม ณ เช้าวันที่ 31 ต.ค. 2026 ตามเวลาไทยที่ ReadEval ตรวจ หน้าสถานะยังไม่มีประกาศใหม่ และหน้าแรกของ AO3 ยังเป็นหน้าปิดซ่อม

ไทม์ไลน์สามบรรทัดแรกและเรื่องที่ AO3 ปิดยาว ReadEval เล่าไว้แล้วในข่าวก่อนหน้า ซึ่งตอนนั้น OTW ยังไม่บอกสาเหตุ

ข้อมูลไหนปลอดภัย ข้อมูลไหนยังไม่ชัด

คำว่า "ตัดออกไม่ได้" ไม่ได้แปลว่าข้อมูลหลุดแล้ว ตอนนี้ยังไม่มีรายงานจาก OTW หรือสื่อว่ามีคนนำฐานข้อมูล AO3 ไปเผยแพร่หรือขาย และยังไม่มีรายงานว่ามีกลุ่มใดอ้างว่าเป็นผู้ลงมือ แต่ก็แปลว่าทีมงานยังยืนยันไม่ได้ว่าไม่หลุด การเปลี่ยนรหัสที่ใช้ซ้ำจึงเป็นการกันไว้ก่อน ไม่ใช่การแก้หลังเกิดเรื่อง

รหัสผ่านแบบแฮชคืออะไร ทำไมยังต้องเปลี่ยน

เว็บที่ออกแบบดีจะไม่เก็บรหัสผ่านของคุณตรง ๆ แต่เก็บผลของการคำนวณทางเดียวที่เรียกว่าแฮช ตอนคุณล็อกอิน ระบบจะคำนวณรหัสที่พิมพ์แล้วเทียบกับผลที่เก็บไว้ ทีมงานเองก็ไม่เห็นรหัสจริง

ปัญหาคือผู้ที่ได้แฮชไปสามารถเดารหัสทีละคำ คำนวณแบบเดียวกัน แล้วเทียบผลได้เรื่อย ๆ รหัสสั้นหรือคำที่คนใช้กันบ่อย เช่น 123456 จึงถูกจับคู่ได้เร็ว ส่วนรหัสยาวและสุ่มจะใช้เวลานานมาก นี่คือเหตุที่ OTW เขียนว่าการแฮชไม่สามารถปกป้องรหัสผ่านที่อ่อนหรือใช้ซ้ำได้ทั้งหมด

OTW บอกเพียงว่าใช้ "เทคนิคมาตรฐานของอุตสาหกรรม" เมื่อ ReadEval เปิดโค้ดโอเพนซอร์สของ AO3 บน GitHub (otwcode/otwarchive) พบว่าระบบล็อกอินใช้ไลบรารี Devise คู่กับวิธีแฮชชื่อ bcrypt ซึ่งออกแบบมาให้คำนวณช้าโดยตั้งใจ เพื่อให้การเดาทีละคำกินเวลามากขึ้น แต่ ReadEval ยืนยันไม่ได้ว่าเว็บจริงตั้งค่าตรงกับโค้ดสาธารณะทุกจุด

ต้องทำอะไรบ้างตอนนี้

1. เปลี่ยนรหัสผ่านในเว็บอื่นที่ใช้รหัสเดียวกับ AO3

นี่คือคำแนะนำเดียวที่ OTW ให้ไว้ในประกาศ เริ่มจากบัญชีที่สำคัญที่สุดก่อน คือบัญชีอีเมลที่ใช้สมัคร AO3 เพราะใครเข้าอีเมลได้ก็กดรีเซ็ตรหัสผ่านของบัญชีอื่นได้แทบทุกบัญชี ตามด้วยโซเชียล แอปธนาคาร และร้านค้าออนไลน์ ตั้งรหัสใหม่ที่ไม่ซ้ำกันในแต่ละเว็บ

2. เปิดการยืนยันตัวตนสองขั้น (2FA) ที่บัญชีอีเมล

ถ้ารหัสผ่านหลุด 2FA จะขอรหัสหรือการยืนยันจากมือถืออีกชั้น สำหรับ Gmail ตามหน้าช่วยเหลือของ Google

1. ไปที่ myaccount.google.com
2. เลือก Security & sign-in (ความปลอดภัยและการลงชื่อเข้าใช้)
3. ใต้หัวข้อ How you sign in to Google เลือก Turn on 2-Step Verification
4. ทำตามขั้นตอนบนหน้าจอ

บัญชีอีเมลของที่ทำงานหรือสถานศึกษาอาจตั้งเองไม่ได้ ต้องติดต่อผู้ดูแลระบบ ผู้ให้บริการอีเมลรายอื่นมีเมนูลักษณะเดียวกัน ให้ดูจากหน้าช่วยเหลือของผู้ให้บริการนั้น

3. ใช้โปรแกรมจัดการรหัสผ่าน

ถ้าคุณใช้รหัสเดียวกันหลายเว็บเพราะจำไม่ไหว โปรแกรมจัดการรหัสผ่านจะสร้างและจำรหัสที่ไม่ซ้ำให้ OTW เองแนะนำวิธีนี้ไว้ตอนเกิดเหตุกับวิกิ Fanlore เมื่อเดือนสิงหาคม และระบุว่าเบราว์เซอร์หลายตัวมีโปรแกรมแบบนี้ให้ใช้ฟรีอยู่แล้ว

4. ระวังข้อความที่อ้างว่ามาจาก AO3 หรือ OTW

ช่วงที่เว็บล่มและผู้ใช้กังวล มักเป็นช่วงที่อีเมลหลอก (ฟิชชิง) ได้ผลที่สุด เช่น อีเมลที่ให้กดลิงก์ไป "ยืนยันบัญชี" หรือ "รีเซ็ตรหัสผ่านด่วน" ข้อนี้เป็นคำแนะนำทั่วไปของ ReadEval ยังไม่มีรายงานอีเมลปลอมในเหตุนี้ ตอนเกิดเหตุกับ Fanlore OTW ก็เตือนแบบเดียวกันว่าให้ระวังข้อความน่าสงสัยที่อ้างถึงบัญชี และการเปลี่ยนรหัสผ่านต้องเริ่มจากผู้ใช้เองบนเว็บโดยตรง ช่องทางข่าวสารทางการของ AO3 ตามที่หน้าปิดซ่อมระบุคือ otwstatus.org, @status.archiveofourown.org บน Bluesky และ ao3org บน Tumblr

5. เปลี่ยนรหัสผ่าน AO3 เองเมื่อเว็บกลับมา

ตอนนี้ทำไม่ได้เพราะเว็บยังปิด และ OTW ยังไม่ได้สั่งให้เปลี่ยน ReadEval เห็นว่าถ้ารหัส AO3 ของคุณเคยใช้ที่อื่นหรือเดาง่าย การเปลี่ยนเป็นรหัสใหม่ที่ไม่ซ้ำเมื่อล็อกอินได้อีกครั้งเป็นเรื่องที่ทำได้ไม่ยาก และควรติดตามว่า OTW จะประกาศขั้นตอนเพิ่มเติมหรือไม่

ส่วนเว็บ haveibeenpwned.com ที่ OTW เคยแนะนำให้ใช้ตรวจว่าอีเมลของคุณเคยอยู่ในข้อมูลที่รั่วหรือไม่ ใช้ได้กับเหตุรั่วที่ยืนยันแล้วเท่านั้น ณ วันที่ 31 ต.ค. 2026 ที่ ReadEval ตรวจ ยังไม่มีหน้าเหตุรั่วของ AO3 ในเว็บนี้ การไม่พบจึงยังไม่ได้แปลว่าบัญชี AO3 ปลอดภัย

เคยเกิดอะไรคล้ายกันกับ OTW มาก่อนไหม

เคย แต่เป็นอีกเว็บหนึ่ง เมื่อวันที่ 6 ส.ค. 2026 OTW พบว่ามีบุคคลภายนอกเข้าถึงเซิร์ฟเวอร์ของ Fanlore วิกิบันทึกประวัติแฟนด้อมที่ OTW ดูแลเช่นกัน ตามโพสต์ของ OTW เมื่อ 13 ส.ค. 2026 ผู้โจมตีเข้าถึงไฟล์และฐานข้อมูลของ Fanlore และโพสต์ในเซิร์ฟเวอร์ Discord ของ Fanlore ชวนให้คนดาวน์โหลดฐานข้อมูลนั้น ช่องโหว่มาจากส่วนเสริมตัวหนึ่งของซอฟต์แวร์วิกิ MediaWiki ที่ OTW ถอดออกไปแล้ว

ครั้งนั้น OTW ระบุชัดว่า AO3 ไม่ได้รับผลกระทบ เพราะระบบของ Fanlore แยกจากระบบอื่นขององค์กร Have I Been Pwned บันทึกว่าเหตุ Fanlore เกี่ยวกับอีเมลไม่ซ้ำกันราว 145,000 รายการ พร้อมรหัสผ่านแบบแฮช ซึ่ง OTW ส่งข้อมูลให้เว็บนี้เอง

ReadEval ยังไม่พบข้อมูลว่าเหตุของ AO3 รอบนี้เกี่ยวกับเหตุ Fanlore หรือไม่ OTW ไม่ได้พูดถึงความเชื่อมโยงใด ๆ ในประกาศรอบนี้ และ AO3 เขียนด้วย Ruby on Rails คนละระบบกับ MediaWiki

คนไทยได้รับผลกระทบไหม

ได้รับผลเหมือนผู้ใช้ทุกประเทศ เพราะฐานข้อมูลผู้ใช้ของ AO3 เป็นชุดเดียวทั้งโลก และประกาศของ OTW ไม่ได้แยกตามประเทศ Gizmodo ยกแฟนด้อม BTS เป็นหนึ่งในแฟนด้อมใหญ่บนเว็บ ซึ่งคุ้นเคยกับผู้อ่านไทย แต่ ReadEval ไม่พบตัวเลขผู้ใช้ไทยที่เชื่อถือได้ จึงบอกไม่ได้ว่ามีบัญชีของคนไทยกี่บัญชี

สื่อรายงานต่างจากประกาศตรงไหน