Apify 确认部分客户账户遭未授权访问及数据暴露
11 月 9 日至 10 日，攻击者用失陷的凭据取得部分账户凭据并访问相关 Apify 账户。Apify 表示已通知个人信息或存储数据遭访问的客户，调查仍在进行。
- 披露时间
- 2026年11月11日
- 更新于 2026年11月12日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 账户或数据遭访问的 Apify 客户，以及依赖已吊销 OAuth 连接的工作流
- Apify · SaaS · 数据泄露 · 凭据
- 在野利用
- 已发现
- Apify 确认内部系统和客户账户遭未经授权的访问。
发生了什么
Apify 表示，未经授权的第三方进入了部分内部系统，并使用失陷的凭据取得部分账户凭据，随后访问相关账户。截至 11 月 12 日，Apify 已通知个人信息或存储数据遭访问的客户。各账户涉及哪些数据，以发给该客户的通知为准。公开通报尚未披露受影响客户数量和完整数据范围。
Apify 已切断访问路径、加强监控、轮换关键内部密钥，并出于预防考虑吊销部分第三方 OAuth 连接。Apify 表示，调查暂未发现攻击者通过这些连接进入系统。使用 GitHub 私有仓库构建的 Actor 可能需要重新授权。Apify 表示，确认某用户的令牌受影响后会轮换并通知该用户。厂商计划在处置完成后发布复盘。
案发时间线
11月9日至10日
未经授权的第三方访问 Apify 系统
Apify 随后披露，攻击者使用失陷的凭据取得部分账户凭据，并访问相关账户。
11月11日 12:13 UTC
Apify 发现异常活动
Apify 表示已切断该访问路径并启动调查。
11月11日 19:46 UTC
Apify 发布首份公告
Apify 披露内部系统遭访问，并表示出于预防考虑吊销了包括 GitHub 在内的部分第三方 OAuth 连接。
11月12日 11:08 UTC
Apify 说明凭据滥用情况
Apify 表示自 11 月 11 日以来未发现攻击者继续活动，已轮换关键内部密钥并通知相关主管部门。
11月12日 16:16 UTC
Apify 确认已通知客户
Apify 表示已联系个人信息或存储数据遭访问的客户，如发现更多受影响客户会继续直接通知。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Apify security incident updates一手来源官方披露的事件时间线、凭据滥用、OAuth 连接吊销和客户通知。