Apify sufre un ciberataque: un tercero accedió a cuentas con credenciales comprometidas
Apify Was Hacked
Entre el 9 y el 10 de noviembre de 2026, un tercero no autorizado usó una credencial comprometida para obtener credenciales de varias cuentas y acceder a cuentas relacionadas de Apify. La empresa detectó la actividad el 11 de noviembre, cortó el acceso y ya notificó a los clientes afectados. Como precaución revocó conexiones OAuth, rotó secretos internos y avisó a las autoridades; habrá un post-mortem tras la remediación.
El 9 y 10 de noviembre, un tercero no autorizado usó una credencial comprometida para obtener varias credenciales de cuenta y acceder a cuentas relacionadas de Apify.
- gnabgib
La cobertura de Bleeping Computer quizá sea un poco más detallada Apify rota los tokens de API y fuerza el restablecimiento de 2FA tras la brecha (https://www.bleepingcomputer.com/news/security/apify-rotates...)
- tptacek
Duplicado, además de título editorializado.
- TZubiri
Siento que soy un idiota publicando una crítica de toda la categoría de dependencias cada vez que tienen una vulnerabilidad crítica.
Pero si estás construyendo un servicio de API, no necesitas una dependencia de API Management. Y es un vector de ataque adicional. Tú (ya sea como ingeniero o como empresa que ofrece un servicio de API) necesitas hacer el trabajo real e indelegable de construir una API, simplemente haz el trabajo, haz el servidor HTTP, haz el rate limiting, haz la integración de OAuth.
Veredicto: Es hora de desinstalar software de la categoría de API Management. Es decir, si quieres ser el mejor de verdad. Si quieres ser mediocre, claro, usa algún middleware que proporcione API, mete un poco de API en tu software para que los clientes que piden API tengan API. Si no, diseña e integra una Interfaz de Programación de Aplicaciones externa en tus sistemas.