Apify, 해킹으로 내부 시스템 침해…고객 데이터 접근 정황 확인
Apify Was Hacked
Apify가 11월 9~10일 침해된 자격 증명을 통해 제3자가 내부 시스템에 접근한 보안 사고를 공개했다. 11일 UTC 12:13에 탐지 후 차단했고, 일부 계정 자격 증명과 관련 Apify 계정이 접근된 것으로 조사됐다. 회사는 영향받은 고객에게 개별 통보했으며, 예방 차원에서 OAuth 연결을 해제하고 내부 시크릿을 교체했다. GitHub 비공개 저장소로 만든 Actor는 재연결이 필요하다.
11월 9일과 10일, 미인가 제3자가 침해된 자격 증명을 이용해 다수의 계정 자격 증명을 확보하고 관련 Apify 계정에 접근했습니다.
HN 토론
10- gnabgib
Bleeping Computer의 보도가 아마 조금 더 자세할 겁니다. Apify, 침해 후 API 토큰 교체 및 2FA 재설정 촉구 (https://www.bleepingcomputer.com/news/security/apify-rotates...)
- tptacek
중복이고, 제목도 편집된 것입니다.
- TZubiri
매번 이 의존성 카테고리 전체에 대한 비판을 올릴 때마다 제가 좀 찌질한 놈 같네요.
하지만 여러분이 API 서비스를 만든다면, API Management 의존성이 필요 없습니다. 그리고 그것은 추가적인 공격 벡터입니다. 여러분(엔지니어로서 또는 API 서비스를 제공하는 회사로서)은 API를 실제로 구축하는 위임할 수 없는 일을 해야 합니다. 그냥 일을 하세요. HTTP 서버를 만들고, 속도 제한을 구현하고, OAuth 통합을 하세요.
결론: API Management 카테고리의 소프트웨어를 제거할 때입니다. 즉, 최고가 되고 싶다면요. 평범해지고 싶다면, 물론 API를 제공하는 미들웨어를 쓰고, 고객이 API를 요구할 때 API가 있도록 소프트웨어에 API를 좀 끼워 넣으세요. 그게 아니라면, 시스템에 외부 Application Programming Interface를 엔지니어링하세요.