AO3 确认安全事件，预计停机两至四周
AO3 确认安全事件，预计至少停机两周，可能持续四周。目前不认为用户数据库被盗，但无法排除。运营方称作品及其他 AO3 数据未被删除；捐赠者资料存于独立系统，未受暴露。
- 披露时间
- 2026年10月30日
- 更新于 2026年11月6日
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- AO3 用户，尤其在其他服务复用 AO3 密码的人
- AO3 · 安全事件 · 停机
- 在野利用
- 未知
- 安全事件已确认，用户数据库被盗及入侵入口仍未确认。
发生了什么
若数据库遭访问，可能暴露用户名、邮箱、IP 地址及密码哈希。运营方提醒，哈希无法完全保护弱密码或复用密码。AO3 不收集真实姓名。入侵入口、受影响账户数量及数据库被盗均未确定。L3 反映大型平台已确认的安全中断，而非已确认的大规模数据泄露。
11 月 6 日更新： AO3 称恢复及防止类似事件的改进工作进展顺利，原恢复预估仍适用。10 月停服前排队的部分订阅及 kudos 通知在恢复过程中发出，运营方确认这些邮件真实。团队称正积极防止草稿被删除。这些是恢复及沟通进展，不代表网站已重开、草稿已全部找回或数据库暴露调查已结束。
案发时间线
10月29日 07:34 UTC
AO3 宣布维护停机
10月29日 17:45 UTC
恢复预期延长至约两至四周
10月30日 01:48 UTC
运营方公开确认安全事件
无法排除数据库被盗，建议预防性更换复用密码。
11月1日 18:10 UTC
AO3 转发停服期间的诈骗警告
官方 RSS 记录的是此次转发时间；新增安全指引，并非新的恢复预估。
11月6日 00:05 UTC
AO3 说明积压通知及草稿保护工作
恢复和预防工作继续，仍维持此前预估。停服前排队的部分通知邮件已正常发出；团队正防止草稿被删除，AO3 仍未开放。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- AO3 官方安全声明一手来源通过官方公开 RSS 完整阅读；安全披露日期为 10 月 30 日，与此前维护通知区分。
- AO3 官方公开 RSS一手来源包含完整声明及带日期的较早维护更新，未确认数据库被盗或数据删除。
- AO3 11 月 1 日官方安全指引转发一手来源通过官方公开 RSS 完整阅读，标注转发时间为 11 月 1 日 18:10:08 UTC；网页无法获取。
- AO3 11 月 6 日官方恢复更新一手来源通过官方 RSS 完整阅读，时间为 11 月 6 日 00:05:47 UTC；确认积压邮件正常发出，草稿保护仍在进行，AO3 尚未开放。