Apify meldt toegang tot klantaccounts

Apify bevestigt dat een onbevoegde partij op 9 en 10 november via een gecompromitteerd inloggegeven toegang kreeg tot interne systemen en gerelateerde klantaccounts, zo meldt het bedrijf in zijn statusupdate.

Voor bedrijven die Apify gebruiken om webdata te verzamelen of browserhandelingen te automatiseren, kunnen geroteerde tokens en ingetrokken OAuth-verbindingen geplande Actors en koppelingen onderbreken. Welke toegang opnieuw moet worden ingesteld, hangt af van de individuele melding van Apify.

Apify ontdekt de toegang op 11 november

Apify zegt dat de aanvaller op die twee dagen één gecompromitteerd inloggegeven gebruikte. Daarmee verkreeg de partij een aantal inloggegevens van Apify-accounts en bereikte gerelateerde accounts. Het bedrijf ontdekte de activiteit op 11 november om 12:13 UTC en sloot de toegang af. Daarna startte Apify een onderzoek naar de omvang. De statusupdate van 12 november om 12:08 CET meldt dat Apify sinds 11 november geen verdere activiteit van de aanvaller heeft gezien.

Het onderzoek naar mogelijk geraakte klantgegevens loopt nog. Apify heeft extra monitoring toegevoegd en zegt de relevante autoriteiten te hebben ingelicht. De statuspagina markeert de API, Actors en General als onderdelen van het incident. Dat label betekent op zichzelf niet dat alle drie diensten voor alle klanten uitvallen.

Klantmails noemen tokens en mogelijk 2FA-codes

De openbare statusmelding noemt geen aantal getroffen accounts en geeft nog geen volledige lijst van geraakte klantgegevens. Op basis van door de redactie ingeziene klantmails meldt BleepingComputer dat Apify bij getroffen klanten API-tokens en Apify Proxy-wachtwoorden heeft geroteerd, terwijl 2FA-codes mogelijk zijn ingezien. Een andere melding vraagt ontvangers hun tweestapsverificatie opnieuw in te stellen. In die mail staat volgens BleepingComputer ook dat de wachtwoorden zelf veilig zijn.

De klantmails geven meer detail over de soorten toegangsgegevens dan de openbare statusmelding. De statuspagina zegt dat het bedrijf tokens zal roteren en de betrokken klanten zal informeren als uit het onderzoek blijkt dat hun tokens geraakt zijn. De meldingen lijken per account te verschillen. Voor een klant is de eigen melding daarom bepalend voor de actie op dat account. De individuele berichten vullen de openbare impactmelding nog niet volledig aan.

Apify's API-handleiding adviseert een afzonderlijk token per dienst en beperkte rechten per token. Bij een gewone handmatige rotatie kan een gebruiker het oude token nog maximaal 24 uur actief houden om toepassingen bij te werken. De documentatie zegt niet dat die overgangsperiode ook geldt voor tokens die Apify naar aanleiding van dit incident heeft vervangen.

Een ingetrokken verbinding kan een Actor stilzetten

Apify meldt dat het uit voorzorg sommige OAuth-verbindingen met externe diensten heeft ingetrokken, waaronder GitHub. Het bedrijf zegt dat het onderzoek geen aanwijzing heeft gevonden dat deze verbindingen als aanvalspad zijn gebruikt. Gebruikers van andere integraties krijgen afzonderlijk bericht als zij die opnieuw moeten koppelen.

Voor Actors die uit een privé-GitHub-repository zijn gebouwd, vraagt Apify klanten de GitHub-verbinding opnieuw te autoriseren. Dat kan via een Actor die uit GitHub is gebouwd: kies 'Change provider', selecteer GitHub en autoriseer opnieuw. Volgens Apify is dat één keer nodig per account en per organisatie. Wie een mail krijgt over een andere integratie, moet die verbinding volgens dezelfde melding opnieuw koppelen.

Een API-token en een OAuth-verbinding zijn verschillende toegangswegen. Een nieuwe token in een account vervangt daarom niet automatisch een ingetrokken GitHub- of andere OAuth-koppeling. Dezelfde scheiding geldt voor 2FA: een verzoek om de tweede factor opnieuw in te stellen is een aparte actie naast het vervangen van een token. Apify's API-documentatie waarschuwt dat toepassingen die een geroteerd token gebruiken na de overgang niet meer werken totdat ze het nieuwe token krijgen.

Andere platforminbraken leiden ook tot sleutelrotatie

Bij de Hugging Face-inbraak in juli misbruikte een kwaadaardige dataset twee code-uitvoerroutes in de datasetverwerking. Daarna trok het bedrijf geraakte inloggegevens en tokens in en adviseerde gebruikers hun toegangstokens te roteren en activiteit te controleren, terwijl onderzoek naar mogelijke klantimpact nog liep.

Bij Fireworks AI lag de toegang anders. De aanbieder meldde op 9 november dat een incident bij een cloudprovider op 23 oktober toegang tot ontwikkelmachines gaf en de volgende dag tot aanvullende impact op klantdata leidde. Fireworks noemde voor een beperkte groep accounts ook geheimen, datasets en onvolledige modelgewichten als geraakt. De Fireworks-melding over toegang via een externe cloudprovider en klantgegevens beschrijft een apart incident; de geraadpleegde updates leggen geen verband met Apify.

De openbare afbakening verschilt per onderzoek. Fireworks noemde categorieën gegevens en diensten die volgens het bedrijf niet geraakt waren. Apify heeft nu de tijdlijn en het afsluiten van de toegang gemeld, maar het aantal accounts en de mogelijke impact op klantdata blijven open.

Apify beloofde op 12 november om 12:08 CET binnen zes uur een volgende update te publiceren, gevolgd door een postmortem na de herstelmaatregelen. Tot die tijd bevat de openbare melding de toegangstijdlijn en beheersingsmaatregelen; de volledige klantimpact blijft in onderzoek. Voor teams die Actors in een bedrijfsproces gebruiken, komt de bruikbare afbakening uit de accountmelding en de koppelingen die daarin worden genoemd.