提供网页数据抓取和任务自动化云平台的 Apify 公司证实，其内部系统及部分客户账户遭到网络攻击。攻击发生在 11 月 9 日至 10 日，并于 11 月 11 日被发现，促使该公司立即切断了攻击者的访问权限并展开全面调查。
该公司解释称，攻击者使用了被泄露的凭据（Compromised credentials）访问了与 Apify 平台关联的其他账户。截至 11 月 12 日，公司确认部分客户的个人信息或存储数据遭到未经授权的访问，并已开始联系受影响的用户。
泄露数据详情
根据部分客户收到的通知，被访问的数据包括一系列敏感信息，具体如下：
- 姓名、电子邮件地址和电话号码。
- 账单详情、账户活动记录和 IP 地址。
- 加盐密码哈希（Salted password hashes）。
- 双重身份验证（2FA）恢复码。
- 与通过 Google 和 GitHub 登录相关的身份验证令牌（Authentication tokens）。
在财务数据方面，泄露仅限于持卡人姓名、有效期以及银行卡后四位，并未获取完整的卡号或安全码（CVV）。
开发者和用户需要注意什么？
此次泄露的技术风险在于所泄露数据的性质；获取双重身份验证（2FA）恢复码和访问令牌（Tokens）可能会使攻击者有能力绕过安全层，并尝试通过 OAuth 技术访问其他关联的账户或服务。
在补救措施方面，Apify 向使用基于私有 GitHub 仓库（Private repositories）构建的 Apify Actors 的开发者发出明确指示，要求重新连接其 GitHub 集成以确保操作安全。此外，该公司还更改了内部密钥（Internal secrets）并撤销了部分与外部服务的 OAuth 连接，以加强保护并防止未来可能发生的任何滥用。