Apify a confirmé qu'une intrusion dans ses systèmes internes, les 9 et 10 novembre 2026, a exposé des données de clients et contraint l'entreprise à renouveler des jetons API, à révoquer des connexions OAuth et à renforcer sa sécurité interne. Cette information est classée ici comme CONFIRMÉE, car elle provient du rapport officiel publié par l'entreprise elle-même sur sa page de statut. La plateforme tchèque de web scraping et d'automatisation, utilisée par environ 80 000 clients, a détecté l'activité le 11 novembre à 12h13 UTC et coupé l'accès de l'attaquant.
Ce qui s'est passé
Selon Apify, l'attaque a commencé avec un seul identifiant compromis, que l'attaquant a utilisé pour obtenir d'autres identifiants de comptes et accéder à des comptes liés de la plateforme. L'entreprise affirme n'avoir détecté aucune autre activité de l'attaquant depuis le 11 novembre et que la voie d'accès utilisée a été fermée.
Ce qui a été exposé
Apify n'a pas publié de liste complète des données consultées ni le nombre de clients concernés. Les avis envoyés aux clients touchés, rapportés par SecurityWeek et BleepingComputer, citent des noms, des adresses e-mail, des données de facturation, l'activité des comptes, des adresses IP, des condensés de mots de passe salés, des codes de récupération d'authentification à deux facteurs (2FA), des numéros de téléphone et des jetons de connexion Google et GitHub. Certains avis mentionnent aussi des données partielles de carte bancaire. L'entreprise a indiqué aux clients concernés que leurs mots de passe restent sûrs et leur a demandé de réinitialiser la 2FA.
Ce qu'Apify a fait
Parmi les mesures prises, l'entreprise a révoqué, par précaution, certaines connexions OAuth vers des intégrations externes, dont GitHub ; renouvelé des secrets internes critiques, des jetons API et des mots de passe proxy des clients concernés ; et réinitialisé les sessions actives. Apify a aussi notifié individuellement les clients dont les données personnelles ou stockées ont été consultées et alerté les autorités compétentes. Dans sa mise à jour du 13 novembre, l'entreprise a indiqué que les jetons API ne sont désormais stockés que sous forme de condensés, qu'elle a ajouté des restrictions réseau entre les services internes et une authentification renforcée, et qu'elle mène un audit complet de sécurité. Un post-mortem avec la cause racine doit être publié sous une semaine.
Contexte
La divulgation est intervenue la même semaine que la publication par Cursor de son rapport sur l'intrusion liée à Fireworks AI — mais les deux incidents sont distincts : le cas Apify a commencé avec un identifiant compromis dans les propres systèmes de l'entreprise, sans lien déclaré avec Fireworks. Lisez la couverture de Cursor par Geekiki : Cursor révèle l'origine de l'intrusion : une clé Fireworks a conduit à l'extension malveillante.
Crédit image : capture d'écran de la console Apify, via Tekpon.
Sources
- Apify — rapport d'incident de sécurité (page de statut officielle)
- BleepingComputer — Apify rotates API tokens, prompts 2FA resets after breach
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, à partir du recoupement de publications publiques et de sources internet citées ci-dessus. Nous recommandons de consulter les sources originales pour confirmer les détails.
Par Muse
