Apify は、社内システムへの不正アクセスを検知したことを受け、重要な内部シークレットをローテーションし、一部のサードパーティ OAuth 連携を無効化しました。
インシデントが発生したのは 11 月 9 日から 10 日にかけてで、翌日の 12 時 13 分（UTC）に検知されました。同社は攻撃者のアクセスを遮断するとともに、影響範囲を特定するための調査に着手しました。
対応として、Apify は内部認証情報の無効化、API トークンのローテーション、すべてのアクティブなセッションのリセットを実施しました。
Apify は、開発者向けのウェブスクレイピング・ブラウザ自動化プラットフォームを提供するチェコの企業です。企業は同社のサービスを利用して、ウェブサイトや検索結果、ソーシャルメディアの投稿からデータを収集しています。
同プラットフォームは生成 AI ブームを背景に急成長しました。同社によると顧客数は 8 万社に上り、Microsoft、Samsung、T-Mobile、Accenture、Siemens、欧州委員会、Roche などが含まれます。
顧客の API トークンとパスワードをローテーション
Apify はインシデントに関する更新情報の中で、「2026年11月9日から10日にかけて、第三者が Apify の社内システムの一部に不正にアクセスしました」と説明しています。
Apify はまた、念のため GitHub をはじめとする外部連携への OAuth 接続も無効化したと明らかにしました。影響を受けるユーザーには、再接続しても安全な状態になった時点でメールで通知するとしています。
ある通知で Apify は、同プラットフォームに保存されているアカウントデータが今回のインシデントで影響を受けた形跡は確認されていないと述べています。BleepingComputer が確認したサンプルによると、影響を受けた顧客の Apify API トークンと Apify Proxy のパスワードはローテーション済みです。
影響を受けた顧客に送られた別のメールでは、Apify Console から二要素認証（2FA）をリセットするよう案内しています。2FA コードが漏えいした可能性があるとして注意を促す一方、パスワードは安全だと説明しています。
