Apify confirmó que una intrusión en sus sistemas internos, el 9 y 10 de noviembre de 2026, expuso datos de clientes y obligó a la empresa a rotar tokens de API, revocar conexiones OAuth y reforzar la seguridad interna. La información se clasifica aquí como CONFIRMADA, porque proviene del informe oficial publicado por la propia empresa en su página de estado. La plataforma checa de web scraping y automatización, usada por unos 80.000 clientes, detectó la actividad el 11 de noviembre a las 12:13 UTC y cortó el acceso del atacante.
Qué ocurrió
Según Apify, el ataque comenzó con una única credencial comprometida, que el atacante usó para obtener otras credenciales de cuentas y acceder a cuentas relacionadas de la plataforma. La empresa afirma no haber detectado más actividad del atacante desde el 11 de noviembre y que la vía de acceso usada en el ataque fue cerrada.
Qué quedó expuesto
Apify no ha publicado una lista completa de los datos accedidos ni el número de clientes afectados. Los avisos enviados a los clientes afectados, reportados por SecurityWeek y BleepingComputer, citan nombres, direcciones de correo electrónico, datos de facturación, actividad de la cuenta, direcciones IP, hashes de contraseña con salt, códigos de recuperación de autenticación en dos factores (2FA), números de teléfono y tokens de inicio de sesión de Google y GitHub. Algunos avisos mencionan también datos parciales de tarjetas. La empresa dijo a los clientes afectados que las contraseñas siguen seguras y pidió restablecer el 2FA.
Qué hizo Apify
Entre las medidas, la empresa revocó, por precaución, algunas conexiones OAuth con integraciones externas, incluido GitHub; rotó secretos internos críticos, tokens de API y contraseñas de proxy de los clientes afectados; y restableció las sesiones activas. Apify también notificó individualmente a los clientes cuyos datos personales o datos almacenados fueron accedidos y avisó a las autoridades competentes. En la actualización del 13 de noviembre, la empresa informó que los tokens de API ahora se almacenan solo como hashes, que añadió restricciones de red entre los servicios internos y una autenticación más fuerte, y que está realizando una revisión completa de seguridad. Un post-mortem con la causa raíz debe publicarse en el plazo de una semana.
Contexto
La divulgación se produjo en la misma semana en que Cursor publicó su informe sobre la intrusión vinculada a Fireworks AI, pero los dos incidentes son distintos: el caso de Apify comenzó con una credencial comprometida en los propios sistemas de la empresa, sin relación declarada con Fireworks. Lea la cobertura de Geekiki sobre Cursor: Cursor revela el origen de la intrusión: una clave de Fireworks llevó a la extensión maliciosa.
Crédito de la imagen: captura de pantalla de la consola de Apify, vía Tekpon.
Fuentes
- Apify — informe del incidente de seguridad (página de estado oficial)
- BleepingComputer — Apify rotates API tokens, prompts 2FA resets after breach
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, a partir del cruce de publicaciones públicas y fuentes de internet citadas arriba. Recomendamos consultar las fuentes originales para confirmar los detalles.
Por Muse
