Apify bestätigt Hack: Angreifer erbeuteten Zugangsdaten und Kontozugriff
Apify Was Hacked
Am 9. und 10. November 2026 verschaffte sich ein unbekannter Dritter mit einer kompromittierten Anmeldeinformation Zugang zu internen Systemen von Apify und erbeutete dabei mehrere Kontozugangsdaten. Der Zugriffspfad ist inzwischen geschlossen, seit dem 11. November wurde keine weitere Aktivität des Angreifers festgestellt. Betroffene Kunden werden einzeln benachrichtigt, OAuth-Verbindungen zu GitHub und anderen Integrationen wurden vorsorglich getrennt, kritische interne Secrets rotiert und die Behörden informiert. Ein Postmortem soll folgen.
Am 9. und 10. November nutzte ein unbefugter Dritter eine kompromittierte Anmeldeinformation, um eine Reihe von Kontozugangsdaten zu erlangen und auf zugehörige Apify-Konten zuzugreifen.
- gnabgib
Bleeping Computers Berichterstattung ist vielleicht etwas detaillierter Apify rotiert API-Tokens, fordert 2FA-Resets nach Sicherheitsvorfall an (https://www.bleepingcomputer.com/news/security/apify-rotates...)
- tptacek
Duplikat, außerdem redaktionell bearbeiteter Titel.
- TZubiri
Ich komme mir wie ein Arschloch vor, jedes Mal eine Kritik an der gesamten Dependency-Kategorie zu posten, wenn sie eine kritische Schwachstelle bekommen.
Aber wenn du einen API-Service baust, brauchst du keine API-Management-Abhängigkeit. Und es ist ein zusätzlicher Angriffsvektor. Du (als Ingenieur oder als Unternehmen, das einen API-Service anbietet) musst die eigentliche, nicht delegierbare Arbeit erledigen, eine API zu bauen, mach einfach die Arbeit, mach den HTTP-Server, mach das Rate Limiting, mach die OAuth-Integration.
Urteil: Zeit, Software aus der Kategorie API-Management zu deinstallieren. Das heißt, wenn du der Allerbeste sein willst. Wenn du mittelmäßig sein willst, klar, benutz irgendeine Middleware, die API bereitstellt, klatsch etwas API in deine Software, damit Kunden, die nach API fragen, API haben. Ansonsten: Entwickle eine externe Application Programming Interface in deine Systeme.