Apify确认，2026年11月9日至10日，其内部系统遭到入侵，客户数据被泄露，公司被迫轮换API令牌、撤销OAuth连接并加强内部安全。此信息在此被列为已确认，因为它来自该公司在其状态页面上发布的官方报告。这家捷克网络爬虫与自动化平台约有8万名客户，于11月11日12时13分（UTC）检测到此次活动，并切断了攻击者的访问权限。
发生了什么
据Apify称，攻击始于一个泄露的凭证，攻击者利用它获取了更多账户凭证，并访问了该平台的相关账户。公司表示，自11月11日以来未再检测到攻击者的活动，攻击所用的访问路径已被关闭。
哪些数据被泄露
Apify尚未公布被访问数据的完整清单，也未公布受影响客户的数量。据《SecurityWeek》和《BleepingComputer》报道，受影响客户收到的通知中提及姓名、电子邮件地址、账单信息、账户活动、IP地址、加盐密码哈希、双因素认证（2FA）恢复码、电话号码以及谷歌和GitHub登录令牌。部分通知还提及不完整的银行卡信息。公司向受影响客户表示密码仍然安全，并要求他们重置双因素认证。
Apify采取了哪些措施
作为预防措施，公司撤销了部分与外部集成（包括GitHub）的OAuth连接；轮换了关键内部密钥、受影响客户的API令牌和代理密码；并重置了活跃会话。Apify还逐一通知了个人信息或存储数据被访问的客户，并向有关部门报告。在11月13日的更新中，公司表示API令牌今后仅以哈希形式存储，已在内部服务之间增加了网络限制并加强了身份验证，同时正在进行全面的安全审查。包含根本原因的事后分析报告将于一周内发布。
背景
此次披露与Cursor发布其与Fireworks AI有关的入侵报告在同一周，但这是两起不同的事件：Apify事件始于该公司自身系统内一个泄露的凭证，与Fireworks没有公开的关联。请阅读Geekiki对Cursor事件的报道：Cursor揭示入侵源头：Fireworks密钥导致恶意扩展。
图片来源：Apify控制台截图，来自Tekpon。
来源
透明度声明：本文在人工智能的协助下，基于公开报道与上文所列互联网来源交叉核对后撰写。建议查阅原始来源以确认细节。
作者：Muse
