Apify: accesso ai sistemi interni, token ruotati e 2FA

Cosa è successo

Apify, piattaforma ceca per web scraping e automazione del browser, ha comunicato sulla sua pagina di stato che il 9 e 10 novembre 2026 un terzo non autorizzato ha avuto accesso a parti dei sistemi interni. L'azienda se n'è accorta l'11 novembre alle 12:13 UTC e ha chiuso l'accesso.

Nell'aggiornamento del 12 novembre (12:08 CET) Apify precisa che una credenziale compromessa ha permesso all'attaccante di ottenere alcune credenziali di account e di accedere ad account collegati. Dice che quel varco è chiuso e che dall'11 novembre non ha visto altra attività dell'attaccante.

Apify dichiara circa 80.000 clienti tra cui, riporta l'articolo, Microsoft, Samsung, T-Mobile, Accenture, Siemens, la Commissione europea e Roche: dati dichiarati dall'azienda, non verificati da noi.

Cosa ha fatto Apify

Secondo la pagina di stato Apify ha interrotto l'accesso, avviato un'indagine, aggiunto monitoraggio, ruotato segreti interni critici, revocato per precauzione alcune connessioni OAuth (GitHub compreso) e avvisato le autorità competenti. Chi costruisce Actor da repository GitHub privati deve ricollegare GitHub; per le altre integrazioni arriva un'email se serve riconnetterle. Sui token degli utenti la pagina dice che Apify li ruota se l'indagine mostra che sono coinvolti.

Il 12 novembre alle 17:16 CET Apify ha scritto di aver avvisato per email i clienti i cui dati personali o archiviati sono stati consultati; chi non ha ricevuto l'email, al momento non risulta coinvolto.

BleepingComputer, che ha visto una notifica ai clienti (dettaglio assente dalla pagina di stato), riferisce che sono stati azzerati tutte le sessioni attive e che i token API e le password di Apify Proxy sono stati ruotati. Ai clienti coinvolti viene chiesto di reimpostare la verifica in due passaggi (2FA) dalla Apify Console, perché i codici 2FA potrebbero essere stati esposti. Le password di accesso agli account, dice Apify, non sono interessate.

Sempre secondo BleepingComputer, in una notifica Apify dichiarava di non avere indizi che i dati degli account fossero coinvolti; la pagina di stato, nel frattempo, parla di clienti i cui dati sono stati consultati e già avvisati: la valutazione è cambiata con l'indagine.

Cosa non si sa ancora

Non dichiarato. Apify non dice chi sia l'attaccante, quanti clienti siano coinvolti, quali dati esatti siano stati consultati né di quale credenziale si tratti. Un'analisi finale (postmortem) è promessa a rimedio concluso; l'incidente risultava ancora aperto il 13 novembre.

2FA e token. Il reset della 2FA e la rotazione dei token e delle password di Apify Proxy sono riportati da BleepingComputer; la pagina di stato non li menziona. Se hai dubbi, fa fede l'email che ricevi da Apify.

Cosa controllare se usi Apify

I passi sotto sono consigli nostri, in base a quanto riportato; per le istruzioni ufficiali fa fede la comunicazione di Apify.

1. Controlla la tua casella email e la pagina di stato di Apify per le comunicazioni ufficiali.
2. Se ti viene chiesto, reimposta la 2FA dalla Apify Console.
3. Se sei tra i clienti coinvolti, controlla se script, server e automazioni usano ancora i vecchi token API o la vecchia password di Apify Proxy: potrebbe servire aggiornarli.
4. Non riconnettere GitHub e le integrazioni revocate finché Apify non ti scrive.
5. Per scrupolo, controlla gli accessi recenti all'account e ai servizi collegati.