Apify mengambil serangkaian langkah pengamanan setelah pihak tidak berwenang mengakses sebagian sistem internalnya. Respons perusahaan mencakup rotasi token API, penggantian kredensial internal penting, reset sesi aktif, serta pencabutan sebagian koneksi OAuth ke layanan eksternal.
Insiden Apify diretas juga memicu pemberitahuan kepada pelanggan tertentu untuk mengatur ulang autentikasi dua faktor atau 2FA. Sementara itu, pembaruan resmi terbaru mengonfirmasi bahwa informasi pribadi atau data tersimpan milik sebagian pelanggan telah diakses.
Akses terjadi pada 9–10 November
Apify menyatakan aktivitas tidak sah berlangsung pada 9 dan 10 November 2026. Perusahaan mendeteksinya pada 11 November pukul 12.13 UTC, atau 19.13 WIB, lalu menutup akses dan memulai penyelidikan.
Dalam penjelasan lanjutan, pelaku disebut menggunakan kredensial yang telah dikompromikan untuk memperoleh sejumlah kredensial akun dan mengakses akun Apify terkait. Perusahaan menyatakan jalur tersebut sudah ditutup dan tidak mendeteksi aktivitas lanjutan penyerang sejak 11 November.
Token API, kata sandi proxy, dan 2FA
Pemberitahuan yang dikirim kepada sebagian pelanggan menyebut token API Apify dan kata sandi Apify Proxy mereka telah dirotasi. Tindakan ini berbeda dari permintaan reset 2FA yang disampaikan melalui pemberitahuan lain kepada pengguna terdampak.
Dalam pesan mengenai 2FA, perusahaan memperingatkan bahwa kode 2FA penerima mungkin telah terekspos dan meminta pengaturan ulang melalui Apify Console. Pada saat yang sama, pemberitahuan tersebut menyatakan kata sandi akun mereka tetap aman.
Perbedaan ini penting agar pengguna tidak menganggap seluruh jenis kredensial mengalami dampak yang sama. Token API digunakan aplikasi untuk mengakses layanan, kata sandi proxy berkaitan dengan akses proxy, sedangkan 2FA menambahkan faktor verifikasi saat autentikasi akun.
Integrasi GitHub dicabut sebagai pencegahan
Apify turut mencabut sebagian koneksi OAuth, termasuk integrasi GitHub, sebagai langkah kehati-hatian. Penyelidikannya belum menemukan bahwa koneksi tersebut dapat digunakan sebagai jalur serangan.
Pengguna yang membangun Actors dari repositori GitHub privat diminta menghubungkan kembali GitHub melalui pengaturan penyedia Actor. Integrasi lain perlu disambungkan kembali apabila pengguna menerima arahan terkait dari Apify.
Pembaruan terbaru mengonfirmasi akses data
Pada 12 November pukul 17.16 CET, atau 23.16 WIB, Apify menyatakan telah memberi tahu pelanggan yang informasi pribadi atau data tersimpannya diakses. Rincian dampak disampaikan dalam email masing-masing pelanggan.
Jika belum menerima email, akun pengguna belum teridentifikasi terdampak sejauh penyelidikan saat itu. Pernyataan ini bersifat sementara; Apify akan menghubungi pelanggan tambahan apabila temuan berubah.
Apify merupakan platform web scraping dan otomatisasi browser asal Ceko. Perusahaan berdiri pada 2015 dan mengembangkan layanan pengumpulan data web yang dapat digunakan pengembang untuk membangun crawler serta menjalankan otomatisasi.
Menurut profil perusahaannya, Apify melayani 80.000 pelanggan di seluruh dunia dan memproses lebih dari 3 petabita data per bulan. Skala penggunaan tersebut membuat pemberitahuan kredensial relevan bagi pengguna individu maupun tim yang mengandalkan otomatisasi.
Bagi pelanggan, langkah yang perlu diprioritaskan adalah membaca instruksi khusus pada pemberitahuan akun. Reset 2FA, rotasi token, dan penyambungan ulang integrasi merupakan proses berbeda, sehingga penyelesaian salah satunya tidak otomatis menyelesaikan yang lain.
Sumber: Apify – Security incident
