Apify heeft na een ongeautoriseerde toegang tot interne systemen API-tokens geroteerd en tweefactorauthenticatie gereset om verdere risico’s te beperken.
Apify heeft na het detecteren van ongeautoriseerde toegang tot delen van haar interne systemen kritieke interne geheimen geroteerd en enkele OAuth-verbindingen met derden ingetrokken. Het incident vond plaats tussen 9 en 10 november 2026 en werd op 11 november om 12:13 UTC ontdekt. Direct na de ontdekking werd de toegang van de aanvaller afgesloten en is een onderzoek gestart om de impact vast te stellen.
De reactie van Apify bestond uit het ongeldig maken van interne credentials, het roteren van API-tokens en het resetten van alle actieve sessies. Apify is een Tsjechisch platform voor webscraping en browserautomatisering dat door ontwikkelaars wordt gebruikt om data te verzamelen van websites, zoekresultaten en socialmediaberichten. Het platform is sterk gegroeid door de opkomst van generatieve AI en heeft ongeveer 80.000 klanten, waaronder grote organisaties als Microsoft, Samsung, T-Mobile, Accenture, Siemens, de Europese Commissie en Roche.
Volgens Apify kreeg een onbevoegde derde partij op 9 en 10 november toegang tot delen van de interne systemen. Uit voorzorg zijn ook OAuth-verbindingen met externe integraties, waaronder GitHub, ingetrokken. Gebruikers die getroffen zijn, worden per e-mail geïnformeerd zodra het weer veilig is om opnieuw verbinding te maken. In een bericht aan klanten stelt Apify dat er geen aanwijzingen zijn dat accountgegevens die op het platform zijn opgeslagen, zijn aangetast.
Getroffen klanten hebben te horen gekregen dat hun Apify API-tokens en Apify Proxy-wachtwoorden zijn geroteerd. Daarnaast adviseert Apify om de tweefactorauthenticatie (2FA) opnieuw in te stellen via de Apify Console, omdat 2FA-codes mogelijk zijn blootgesteld. De wachtwoorden zelf zouden niet zijn gecompromitteerd.
