Apify: útočník přes kompromitovaný přístupový údaj získal přihlašovací údaje k účtům uživatelů

Co se stalo

Apify, pražská platforma pro web scraping a automatizaci, 11. listopadu 2026 na své status stránce oznámila bezpečnostní incident. Podle aktualizace z 12. 11. neoprávněná třetí strana 9. a 10. listopadu použila kompromitovaný přístupový údaj, získala jím řadu přihlašovacích údajů k účtům a dostala se k souvisejícím účtům Apify.

Apify aktivitu odhalila 11. 11. ve 12:13 UTC a přístup útočníkovi odřízla. Cesta, kterou útočník použil, je podle firmy uzavřená a od 11. 11. žádnou další aktivitu nevidí. Vyšetřování pokračuje, Apify incident nahlásila příslušným úřadům a slibuje další aktualizace i zprávu o incidentu.

V aktualizaci z 12. 11. večer Apify potvrdila, že útočník u části zákazníků získal přístup k osobním údajům nebo uloženým datům. Tyto zákazníky už upozornila e-mailem. Kdo e-mail nedostal, mezi zasaženými zatím není; kdyby to další vyšetřování změnilo, Apify ho kontaktuje přímo.

Co Apify veřejně neuvedla: kolik účtů je zasažených, jaké údaje přesně útočník viděl (například výsledky scrapování nebo tajemství uložená v Actorech) a jaký přístupový údaj na začátku získal a jak.

Co Apify udělala

• Zrušila část propojení OAuth s externími integracemi, mezi nimi GitHub. Podle firmy vyšetřování nenaznačuje, že by tato propojení byla cestou útoku – jde o opatrnost.
• Vyměnila kritická interní tajemství.
• Upozorňuje zasažené uživatele jednotlivě. Pokud zjistí, že byly zasažené jejich tokeny, vymění je za ně.
• API tokeny ukládá už jen jako hashe (aktualizace 13. 11.), takže z databáze nejdou přečíst v původní podobě.
• Přidala další vrstvy ochrany: omezení síťových spojení mezi interními službami a silnější ověřování v interních systémech. Probíhá bezpečnostní revize celé infrastruktury a další analýza logů.

Co udělat

1. Pokud vám Apify napsala, postupujte podle e-mailu. Pokyny si ověřte přímo na status stránce Apify, na odkazy v e-mailu neklikejte – po incidentech chodí i falešná „upozornění“. Neznámý odkaz si můžete ověřit v naší Kontrole odkazu.
2. Stavíte Actory ze soukromých repozitářů GitHubu? GitHub je potřeba znovu propojit, a to zvlášť pro každý účet a organizaci (podle Apify přes „Change provider“).
3. Znovu propojte další integrace, pokud k tomu budete vyzváni.
4. Omezte přístup k úložištím. Apify 13. 11. doporučila v Console → Settings → General nastavit „General resource access“ na Restricted. Datasety a úložiště klíč–hodnota pak nejde otevřít jen podle ID, ale jen s oprávněním. Apify připomíná, že nikdy nežádá heslo, kódy dvoufázového ověření ani platební údaje.
5. Naše doporučení navíc: vyměňte API token Apify a klíče třetích stran uložené v proměnných prostředí Actorů. V auditním logu GitHubu zkontrolujte, co aplikace Apify v období 9.–11. 11. dělala. Jak postupovat, když máte podezření na odcizený účet, popisujeme v návodu Někdo mi ukradl účet.

Časová osa

Aktualizace

• 13. 11. 2026, večer – Apify v aktualizaci ze 17:36 SEČ uvedla, že API tokeny ukládá už jen jako hashe, omezila síťová spojení mezi interními službami a posílila ověřování interních systémů. Uživatelům doporučuje nastavit přístup k úložištím na Restricted a dávat pozor na phishing. Další aktualizace má přijít do 72 hodin, zpráva o příčině a nápravě do týdne. Počet zasažených účtů firma zatím neuvedla.
• 13. 11. 2026 – Apify v aktualizaci z 12. 11. večer potvrdila, že útočník u části zákazníků získal přístup k osobním údajům nebo uloženým datům; zasažené upozornila e-mailem. Kdo e-mail nedostal, mezi zasaženými zatím není. Další aktualizaci firma slíbila do 24 hodin.
• 12. 11. 2026 – první verze článku.