Apifyが不正アクセスを受け、顧客データの一部が流出
Apify Was Hacked
Apifyは2026年11月9日と10日に第三者による不正アクセスを検知し、11日に遮断したと発表した。攻撃者は侵害された認証情報を用いて複数のアカウント資格情報を取得し、関連アカウントにアクセスしていた。Apifyは影響を受けたユーザーへの個別通知を進め、OAuth接続の一部を失効させ、内部シークレットをローテーションするなどの対策を講じている。GitHub連携でActorを構築しているユーザーは再接続が必要だ。
11月9日と10日、権限のない第三者が侵害された認証情報を用いて複数のアカウント資格情報を取得し、関連するApifyアカウントにアクセスしました。
HNでの議論
10- gnabgib
Bleeping Computerの記事の方がもう少し詳しいかも。Apify、侵害後にAPIトークンをローテーションし2FAリセットを促す（https://www.bleepingcomputer.com/news/security/apify-rotates...）
- tptacek
重複投稿、しかもタイトルも編集されている。
- TZubiri
依存関係というカテゴリ全体に対して、重大な脆弱性が出るたびに批判を投稿するのは、自分でも嫌な奴だなと思う。
でも、APIサービスを構築しているなら、API Managementの依存関係は必要ない。しかもそれは攻撃ベクトルを増やすだけだ。あなた（エンジニアとして、あるいはAPIサービスを提供する企業として）は、委任できない本来の仕事、つまりAPIを構築する仕事を自分でやる必要がある。ただ作業をやるんだ。HTTPサーバーをやり、レート制限をやり、OAuth連携をやる。
結論：API Managementというカテゴリのソフトウェアをアンインストールする時だ。つまり、最高を目指すなら、ね。凡庸でいいなら、APIを提供するミドルウェアを使って、APIを求める顧客にAPIがあるように見せるためにソフトウェアにAPIを適当に組み込めばいい。そうでなければ、外部のApplication Programming Interfaceを自分のシステムにエンジニアリングして組み込むんだ。