Apify взломали: злоумышленник похитил учётные данные клиентов
Apify Was Hacked
9 и 10 ноября 2026 года неизвестный использовал скомпрометированные учётные данные для доступа к внутренним системам Apify и получения данных ряда аккаунтов. Атаку обнаружили 11 ноября, доступ перекрыли, а затронутых пользователей уведомляют лично. В качестве мер предосторожности компания отозвала часть OAuth-подключений к внешним интеграциям, включая GitHub, и сменила критически важные внутренние секреты. Расследование продолжается, по итогам обещан постмортем.
9 и 10 ноября 2026 года несанкционированная третья сторона получила доступ к частям внутренних систем Apify.
- gnabgib
Материал Bleeping Computer, возможно, немного подробнее: Apify rotates API tokens, prompts 2FA resets after breach (https://www.bleepingcomputer.com/news/security/apify-rotates...)
- tptacek
Дубликат, к тому же заголовок отредактирован.
- TZubiri
Чувствую себя мудаком, когда пишу критику всей категории зависимостей каждый раз, когда у них появляется критическая уязвимость.
Но если вы делаете API-сервис, вам не нужна зависимость для API Management. И это дополнительный вектор атаки. Вам (как инженеру или как компании, предоставляющей API-сервис) нужно выполнять ту самую работу, которую нельзя делегировать: делать API, просто делайте работу — делайте HTTP-сервер, делайте rate limiting, делайте интеграцию с OAuth.
Вердикт: пора удалять софт из категории API Management. То есть, если вы хотите быть лучшими из лучших. Если хотите быть посредственными — конечно, используйте какой-нибудь middleware, который предоставляет API, прикрутите API к своему софту, чтобы у клиентов, которые просят API, был API. Иначе — спроектируйте внешний Application Programming Interface в своих системах.