A Apify confirmou que uma invasão aos seus sistemas internos, em 9 e 10 de novembro de 2026, expôs dados de clientes e obrigou a empresa a girar tokens de API, revogar conexões OAuth e reforçar a segurança interna. A informação é classificada aqui como CONFIRMADA, porque vem do relatório oficial publicado pela própria empresa em sua página de status. A plataforma tcheca de web scraping e automação, usada por cerca de 80 mil clientes, detectou a atividade em 11 de novembro, às 12h13 UTC, e interrompeu o acesso do invasor.
O que aconteceu
Segundo a Apify, o ataque começou com uma única credencial comprometida, usada pelo invasor para obter outras credenciais de contas e acessar contas relacionadas da plataforma. A empresa afirma não ter detectado mais atividade do invasor desde 11 de novembro e diz que o caminho de acesso usado no ataque foi fechado.
O que foi exposto
A Apify não publicou uma lista completa dos dados acessados nem o número de clientes afetados. Avisos enviados aos clientes afetados, relatados pelo SecurityWeek e pelo BleepingComputer, citam nomes, endereços de e-mail, dados de cobrança, atividade da conta, endereços IP, hashes de senha com salt, códigos de recuperação de autenticação em dois fatores (2FA), números de telefone e tokens de login do Google e do GitHub. Em alguns avisos, há também dados parciais de cartão. A empresa disse aos clientes afetados que as senhas permanecem seguras e pediu a redefinição do 2FA.
O que a Apify fez
Entre as medidas, a empresa revogou, por precaução, algumas conexões OAuth com integrações externas, incluindo o GitHub; girou segredos internos críticos, tokens de API e senhas de proxy dos clientes afetados; e redefiniu as sessões ativas. A Apify também notificou individualmente os clientes cujos dados pessoais ou dados armazenados foram acessados e avisou as autoridades competentes. Na atualização de 13 de novembro, a empresa informou que os tokens de API passaram a ser armazenados apenas como hashes, que adicionou restrições de rede entre os serviços internos e uma autenticação mais forte, e que está fazendo uma revisão completa de segurança. Um post-mortem com a causa raiz deve ser publicado em até uma semana.
Contexto
A divulgação ocorreu na mesma semana em que a Cursor publicou seu relatório sobre a invasão ligada à Fireworks AI — mas os dois incidentes são distintos: o caso da Apify começou com uma credencial comprometida nos próprios sistemas da empresa, sem relação declarada com a Fireworks. Leia a cobertura do Geekiki sobre a Cursor: Cursor revela origem da invasão: chave da Fireworks levou a extensão maliciosa.
Crédito da imagem: captura de tela do console da Apify, via Tekpon.
Fontes
- Apify — relatório do incidente de segurança (página de status oficial)
- BleepingComputer — Apify rotates API tokens, prompts 2FA resets after breach
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, a partir do cruzamento de publicações públicas e de fontes da internet listadas acima. Recomendamos consultar as fontes originais para confirmar os detalhes.
Por Muse
