AO3 piraté : 11 millions de comptes et 18 millions d'œuvres bloqués

Archive of Our Own, la plus grande bibliothèque participative de fanfictions au monde, est hors ligne depuis le 29 octobre 2026. Le lendemain, son gestionnaire, l'Organization for Transformative Works (OTW), a confirmé qu'il s'agissait d'un incident de sécurité, et non d'une simple panne technique. La plateforme compte plus de 11 millions de comptes inscrits et près de 18 millions d'œuvres publiées, selon TechXplore.

Le cas d'Archive of Our Own, connu de sa communauté sous l'acronyme AO3, intéresse au-delà du monde des fans : il illustre ce qui se joue en coulisses quand une plateforme à forte volumétrie d'utilisateurs encaisse une cyberattaque. Entre incertitude sur les données de compte, délai de remise en route annoncé et réflexes à adopter côté utilisateurs, voici ce que les faits vérifiés permettent de dire au 8 novembre 2026.

01Ce qui s'est passé, jour par jour

Le 29 octobre 2026, les utilisateurs d'Archive of Our Own constatent que le site ne répond plus. Pas de message d'erreur classique, pas de maintenance annoncée : la plateforme communautaire, gérée par l'association à but non lucratif Organization for Transformative Works, disparaît purement et simplement.

Le 30 octobre 2026, l'OTW publie un communiqué officiel : l'organisation a détecté des « preuves d'un incident de sécurité ». Elle précise d'emblée qu'aucun contenu, qu'il s'agisse des œuvres, des bookmarks ou des kudos (l'équivalent des « likes » sur AO3), n'a été supprimé. Une semaine plus tard, le 7 novembre 2026, l'agence AFP et le site TechXplore reprennent l'affaire avec des chiffres précis sur l'ampleur de la plateforme, avant que franceinfo ne relaie l'information en France le même jour.

02Ce qui est réellement menacé : comptes contre contenus

L'OTW distingue clairement deux périmètres. D'un côté, les œuvres elles-mêmes, les bookmarks et les kudos, que l'association affirme intacts. De l'autre, la base de données des comptes, qui contient identifiants, adresses email, adresses IP et mots de passe hashés. Sur ce second point, l'organisation est plus prudente : elle « ne pense pas » que cette base ait été volée, mais reconnaît ne pas pouvoir l'exclure totalement.

Entre ce qui est confirmé intact et ce qui ne peut pas être exclu, l'incertitude elle-même devient une information à gérer.

Cette nuance compte. Un mot de passe hashé n'est pas un mot de passe en clair, mais il peut être attaqué hors ligne si l'algorithme de hachage est faible ou si la base fuit un jour sur un forum spécialisé. Pour les millions de comptes concernés, le risque n'est donc pas de perdre ses fanfictions favorites (celles-ci semblent préservées), mais de voir ses identifiants réutilisés ailleurs si la prudence n'est pas de mise. Pour le contexte, voir notre article sur le piratage des données de la FFVoile.

0311 millions de comptes, 18 millions d'œuvres : la taille du problème

Les chiffres donnent la mesure de l'incident. Selon TechXplore, qui reprend une dépêche AFP publiée le 7 novembre 2026, Archive of Our Own revendique plus de 11 millions de comptes inscrits et près de 18 millions d'œuvres hébergées. C'est l'une des plus grandes bibliothèques collaboratives de textes de fiction au monde, construite depuis 2008 par et pour les communautés de fans, sans publicité ni modèle commercial classique.

04Pourquoi deux à quatre semaines de retour en ligne

L'OTW a annoncé, dans son communiqué du 30 octobre 2026, une fourchette de deux à quatre semaines avant une restauration complète. Selon le site spécialisé Tech Insider, aucune date de retour ferme n'était confirmée au 8 novembre 2026, soit plus d'une semaine après le début de la panne. Ce délai s'explique par la nature même d'un incident de sécurité : avant de rouvrir l'accès, une organisation doit généralement auditer l'étendue de l'intrusion, corriger la faille exploitée, et parfois reconstruire une partie de l'infrastructure pour éviter une récidive immédiate.

C'est un rythme que l'on retrouve régulièrement lors d'incidents similaires, qu'il s'agisse d'une collectivité comme Cholet, revenue au papier après un hameçonnage, ou d'une entreprise ciblée via un prestataire compromis.

05Les réflexes à adopter, sur AO3 comme sur n'importe quelle plateforme communautaire

Tant que l'OTW n'a pas confirmé l'absence totale de vol de la base de comptes, la prudence s'impose pour les millions d'utilisateurs concernés. Le changement de mot de passe, dès la réouverture du site, reste le réflexe le plus simple et le plus efficace, surtout si ce mot de passe est réutilisé sur d'autres services.

Ce que ça change pour n'importe quel site à forte communauté

L'affaire rappelle aussi, comme l'a montré la fuite de données Engie, que des emails exposés dans une base de comptes peuvent nourrir des campagnes de phishing ciblées pendant des mois après l'incident initial. Pour un site éditorial ou e-commerce qui gère lui-même des comptes utilisateurs, la bonne pratique consiste à activer la double authentification, à limiter la durée de conservation des adresses IP de connexion, et à préparer en amont un plan de communication transparent, à l'image de celui publié par l'OTW.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo