Apifyの顧客データが内部システムへの不正アクセスにより流出
Webスクレイピングおよびタスク自動化のためのクラウドプラットフォームを提供するApify社は、同社の内部システムおよび一部の顧客アカウントがサイバー攻撃を受けたことを認めました。攻撃は11月9日から10日にかけて発生し、11月11日に検知されました。これを受け、同社は直ちに攻撃者のアクセスを遮断し、詳細な調査を開始しました。
同社によると、攻撃者は侵害された認証情報（Compromised credentials）を使用して、Apifyプラットフォームに関連する追加アカウントにアクセスしました。11月12日までに、一部の顧客の個人情報や保存データが不正アクセスの対象となったことが確認され、同社は被害を受けた顧客への連絡を開始しています。
流出したデータの詳細
一部の顧客に送付された通知によると、アクセスされたデータには以下の機密情報が含まれています。
- 氏名、メールアドレス、電話番号
- 請求詳細、アカウントアクティビティログ、IPアドレス
- ソルト化されたパスワードハッシュ（Salted password hashes）
- 2段階認証（2FA）リカバリーコード
- GoogleおよびGitHub経由のログインに関連する認証トークン（Authentication tokens）
金融データに関しては、カード名義人、有効期限、カード番号の下4桁のみが流出しており、カード番号全体やセキュリティコード（CVV）へのアクセスは確認されていません。
開発者およびユーザーへの影響
この侵害の技術的な危険性は、流出したデータの性質にあります。2段階認証（2FA）リカバリーコードやアクセストークンが取得されたことで、攻撃者が保護層を回避し、OAuth技術を通じてリンクされている他のアカウントやサービスにアクセスを試みる可能性があります。
是正措置として、ApifyはプライベートなGitHubリポジトリから構築されたApify Actorsを使用している開発者に対し、運用の安全性を確保するためにGitHub連携を再接続するよう指示しました。また、同社は保護を強化し、将来的な悪用を防ぐために、内部シークレットの変更および一部の外部サービスとのOAuth接続の取り消しを行いました。