Apify 遭入侵后轮换 API 令牌并提示重置 2FA

Apify 在检测到其内部系统遭到未经授权的访问后，已轮换关键内部密钥并撤销了部分第三方 OAuth 连接。

该事件发生于 11 月 9 日至 10 日之间，于次日 12:13 UTC 被检测到。该公司的应对措施是切断攻击者的访问权限，并启动调查以确定影响范围。

Apify 的响应包括使内部凭据失效、轮换 API 令牌以及重置所有活动会话。

Apify 是一个面向开发者的捷克网页抓取与浏览器自动化平台。企业使用其服务收集来自网站、搜索结果和社交媒体帖子的数据。

该平台随着生成式 AI 浪潮大幅增长，据称拥有 80,000 家客户，包括 Microsoft、Samsung、T-Mobile、Accenture、Siemens、欧盟委员会和 Roche。

轮换客户 API 令牌和密码

"2026 年 11 月 9 日至 10 日，一个未经授权的第三方访问了 Apify 内部系统的部分内容，" Apify 在关于该事件的更新中表示。

Apify 表示，出于谨慎考虑，它还撤销了与外部集成（包括 GitHub）的 OAuth 连接。受影响的用户将在可以安全重新连接时收到电子邮件通知。

在其中一份通知中，Apify 表示未发现任何迹象表明其平台上存储的账户数据受到该事件影响。BleepingComputer 看到的一份样本通知称，受影响客户的 Apify API 令牌和 Apify Proxy 密码已被轮换。

在发送给受影响客户的另一封信函中，该公司建议收件人通过 Apify Console 重置其双因素认证（2FA），警告他们的 2FA 验证码可能已暴露，同时向他们保证其密码仍然安全。