要点
- Web スクレイピングと自動化の基盤 Apify が、内部システムへの不正アクセスを受けたと発表した。
- Apify の説明によると、攻撃者は侵害された認証情報を使い、アカウントの認証情報を取得した。
- 利用者は、メールの指示に従い、連携の再接続、トークンの確認、2段階認証の再設定を進める必要がある。
何が起きたか
Apify は、Web ページからデータを集めたり、ブラウザ操作を自動化したりするサービスだ。チェコの会社で、BleepingComputer によると約 80,000 の顧客がいる。
Apify の status ページによると、不正アクセスがあったのは 2026 年 11 月 9 日から 10 日。Apify が気づいて攻撃者を締め出したのは、11 日 12 時 13 分（UTC。日本時間では同日 21 時 13 分）だ。
12 日の更新で、Apify は入口を明かした。きっかけは、侵害された認証情報が 1 つ使われたことだという。そこから、一部のアカウントの認証情報が取られ、関連するアカウントにもアクセスされた。Apify は、この道はすでにふさいだと述べている。また、11 日の締め出し以降は、攻撃者の活動を確認していないという。
対応として、Apify は当局への届け出と、影響を受けた利用者への個別連絡を進めている。社内の重要なシークレット（内部で使う鍵やパスワード）も入れ替えた。さらに、外部サービスとの連携のうち一部は、念のため OAuth 接続を失効させた。Apify は、調査ではこれらの接続が攻撃経路になり得ると確認していない、と述べている。
BleepingComputer は、利用者に届いた通知を確認したと報じている。それによると、影響を受けた利用者の API トークンと Apify Proxy のパスワードは入れ替え済みだ。通知は、2段階認証のコードが漏れた可能性があるとして、Console での再設定を求めている。パスワードは安全だとも書かれている。この通知の内容は、こちらでは status ページで直接確かめられていない。同じ記事は、Apify の対応に全セッションのリセットも含まれると伝えている。
影響を受けた利用者データの範囲は、調査中だ。Apify は、事後の報告を出すとしている。
日本の利用者への影響
日本の利用者や組織への影響に触れた資料は、見つかっていない。ただ、Apify は世界中で使われる開発者向けのサービスで、日本のデータ収集や自動化の現場でも使われうる。自社で使っているか、委託先が使っていないかを確かめたい。
今すぐやること
- Apify のアカウントがあれば、Apify からのメールを確認し、指示に従う。偽のメールもありうるので、リンクは踏まず、Console に直接入って確かめる。
- 2段階認証（パスワードのほかにコードでも本人確認する仕組み）を再設定する。BleepingComputer によると、Apify が求めている。
- 自分のトークンが入れ替わったかを確かめる。トークンを使う自動処理（定期実行・外部ツール）は、新しい値に更新する。
- GitHub の非公開リポジトリから Actor を作っているなら、GitHub の連携をつなぎ直す。Apify は、Actor の「Change provider」から行うよう案内している。
- 念のため、Apify に預けたほかのサービスの鍵や認証情報（実行環境の変数など）を確認し、不審な利用があれば入れ替える。これはこちらの見立てだ。
背景
自動化の基盤は、外部サービスの鍵やトークンを預かることが多い。ここが侵入されると、つながった先まで影響が広がりかねない。そのため、事業者は連携の失効や鍵の入れ替えを急ぐ。
Apify の status ページには、2026 年 3 月 6 日の別のセキュリティ事案の告知もある。今回の件との関係は、確かめられていない。
Apify 自身が、アカウントの認証情報が取得されたと述べている。2段階認証のコードも漏れた可能性がある。一方、BleepingComputer によると、Apify はプラットフォーム上のアカウントデータへの影響の兆候は見つけていないという。status ページでは、影響範囲の調査は続くとされる。続報を待ちたい。
技術者向けの詳細
- 不正アクセスの期間: 2026-11-09〜10。検知と遮断: 2026-11-11 12:13 UTC。
- 侵入の経路（Apify の説明）: 侵害された認証情報が使われ、一部のアカウントの認証情報が取得され、関連アカウントにアクセスされた。
- OAuth 接続は予防的に失効させたもの。Apify は「調査では、これらの接続が攻撃経路になり得ると確認していない」と述べている。
- 入れ替え（BleepingComputer の報道）: 影響を受けた利用者の API トークンと Apify Proxy のパスワード。全アクティブセッションのリセットは、Apify の対応全般として報じられている。
- 確認するもの: Apify の API を使う CI・cron・外部ツールの認証エラー。Actor のビルド元の GitHub 接続。
- 続報は status ページの該当ページで確認できる。事後報告が出る予定。
