El reconocido portal Internet Archive, famoso por su herramienta Wayback Machine y seguramente la hemeroteca digital más grande de la actualidad, ha sido víctima de una grave brecha de seguridad que ha expuesto la información de 33 millones de usuarios (primer ataque) y luego, mas de 800.000 registros de tickets de soporte enviados a la cuenta info@archive[.]org (segundo ataque).
El acceso no autorizado a los almacenes de código de la organización, se produjo a través de la utilización de credenciales válidas detectadas en un repositorio GIT expuesto a Internet. El archivo de configuración estuvo disponible en uno de los subdominios de Internet Archive (un ambiente de desarrollo) desde diciembre de 2022.
Credenciales de acceso GitLab expuestas en el subdominio services-hls.dev.archive.org
Detalles del ataque
El primer ataque fue inicialmente descubierto cuando los visitantes del sitio vieron una alerta emergente en JavaScript, implementada por los actores de amenaza, informando sobre la brecha de seguridad. Esta alerta, junto con la filtración de la base de datos, reveló que la información robada incluía direcciones de correo electrónico, nombres de usuario y contraseñas protegidas con el algoritmo Bcrypt, uno de los más seguros en la industria. No obstante, la exposición de esta información deja a los usuarios vulnerables a futuros intentos de suplantación de identidad y ataques de fuerza bruta.
El archivo robado correspondía a un respaldo de la base de datos SQL de 6.4 GB y fue compartido con el servicio de notificación de violaciones de datos Have I Been Pwned (HIBP), lo que permite a los usuarios verificar si sus credenciales están entre las afectadas por esta brecha. La base de datos contiene registros hasta el 28 de septiembre de 2024, fecha en la que se sospecha ocurrió la extracción.
El segundo ataque, se da luego de que los atacantes informaran el acceso a más de 800.000 tickets de soporte enviados al correo info@archive[.]org los cuales podrían contener información sensible. Este segundo compromiso fue posible gracias a nuevas credenciales descubiertas por los atacantes en la información robada durante el primer ataque, las cuales no fueron modificadas a tiempo por Internet Archive.
Cronología del ataque
- Diciembre 2022: Se expone un token de autenticación en GitLab, creando una brecha potencial en los sistemas.
- Septiembre 28, 2024: Los hackers acceden a la base de datos de usuarios, robando información sensible.
- Octubre 9, 2024: La brecha se hace pública cuando los visitantes de The Internet Archive ven una alerta JavaScript en el sitio web.
- Octubre 10, 2024: Brewster Kahle, fundador del Internet Archive, confirma el ataque y detalla las medidas tomadas para contener la situación.
- Octubre 20, 2024: Se revela un segundo ataque que expuso más de 800,000 tickets de soporte de Zendesk, incrementando las preocupaciones sobre el manejo de datos de la organización. Entre la primera exposición y el acceso a la base de dato transcurrieron 647 días.
Compartimos una infografía que explica simplificadamente la cronología del ataque y entrega un resumen de lo sucedido:
Medidas y recomendaciones
Internet Archive ha normalizado la operación y está llevando a cabo una auditoría interna para mejorar la seguridad de sus sistemas. Sin embargo, los usuarios deben tomar acciones adicionales para proteger sus datos:
- Cambiar las credenciales de acceso, especialmente si se utilizan en distintos servicios.
- Activar la autenticación multifactor (MFA) en todas las cuentas posibles.
- Verificar si la cuenta de Internet Archive fue comprometida a través del portal Have I Been Pwned.
Este incidente vuelve a poner en la mesa la importancia de mantener prácticas de seguridad robustas, tanto para los usuarios como para organizaciones. La rotación de credenciales, la protección adecuada de repositorios de código y la pronta respuesta a las vulnerabilidades son esenciales para prevenir estos y otros ciberataques.
Referencias:
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
