Apify: Angreifer griff auf Kundenkonten und gespeicherte Daten zu
Die Scraping-Plattform Apify hat am 12. November 2026 bestätigt, dass ein Angreifer am 9. und 10. November auf persönliche oder gespeicherte Daten von Kunden zugegriffen hat. Einstieg war eine kompromittierte Zugangsberechtigung. Apify widerrief unter anderem GitHub-Verbindungen und empfiehlt, den Zugriff auf Speicher auf „Restricted“ zu stellen.
Die Web-Scraping- und Automatisierungsplattform Apify hat am 12. November 2026 bestätigt, dass bei einem Sicherheitsvorfall ein Angreifer auf persönliche Informationen oder gespeicherte Daten von Kunden zugegriffen hat. Laut der Statusseite des Unternehmens nutzte ein Unbefugter am 9. und 10. November eine kompromittierte Zugangsberechtigung, um sich weitere Kontozugänge zu verschaffen und damit verbundene Apify-Konten zu öffnen. Entdeckt wurde der Zugriff am 11. November.
Betroffen sind Firmen und Entwickler, die Apify für Scraping, Datensammlung oder automatisierte Abläufe nutzen. Wer eine Benachrichtigung erhalten hat, sollte deren Anweisungen sofort folgen. Alle anderen Kunden sollten den Zugriff auf ihre Speicher einschränken und die Verbindungen zu GitHub und anderen Integrationen prüfen. Wer Apify nicht einsetzt, hat keinen Handlungsbedarf.
Was ist passiert?
Apify meldete den Vorfall am Abend des 11. November. Den Zugriff hatte das Unternehmen nach eigener Angabe um 12:13 Uhr UTC erkannt und daraufhin den Zugang gekappt. Seit dem 11. November sieht Apify keine weitere Aktivität des Angreifers. Am 12. November folgte die Bestätigung, dass persönliche Informationen oder gespeicherte Daten einzelner Kunden betroffen sind, auf die der Angreifer zugegriffen hat. Betroffene wurden per E-Mail informiert. Wer keine Mail erhalten hat, wurde nach dem bisherigen Stand nicht als betroffen identifiziert. Die Untersuchung läuft weiter, Apify hat nach eigener Angabe die zuständigen Behörden informiert.
Als Reaktion hat Apify einige OAuth-Verbindungen zu externen Integrationen widerrufen, darunter GitHub, und wichtige interne Geheimnisse ausgetauscht. Dass diese OAuth-Verbindungen als Angriffsweg dienen konnten, hat die Untersuchung laut Apify nicht ergeben. Im Update vom 13. November nennt das Unternehmen weitere Schritte: API-Tokens werden nur noch als Hash gespeichert, interne Dienste sind stärker voneinander getrennt und strenger authentifiziert. Eine Analyse der Ursache will Apify innerhalb einer Woche veröffentlichen.
Welche Daten sind betroffen?
Eine vollständige Liste hat Apify öffentlich nicht vorgelegt, auch die Zahl der betroffenen Konten nennt das Unternehmen nicht. SecurityWeek beschreibt den Inhalt einer Kundenbenachrichtigung, die ein Betroffener auf Reddit geteilt hat. Danach gehören Namen, E-Mail-Adressen, Rechnungsdaten, Kontoaktivitäten und IP-Adressen dazu, außerdem gesalzene Passwort-Hashes, Wiederherstellungscodes für die Zwei-Faktor-Anmeldung, Telefonnummern und Tokens der Anmeldung über Google und GitHub. Von Zahlungskarten seien nur Inhabername, Ablaufdatum und die letzten vier Ziffern betroffen, vollständige Kartennummern und Prüfcodes nicht. Diese Angaben stammen nicht aus einer öffentlichen Mitteilung von Apify und lassen sich nicht unabhängig prüfen.
Was sollten Admins jetzt tun?
- Inventar: Feststellen, welche Teams Apify nutzen, mit welchen Konten, API-Tokens und Integrationen, und ob eine Benachrichtigung von Apify eingegangen ist.
- Speicher einschränken: Laut Apify in der Konsole unter Settings, General resource access auf „Restricted“ stellen. Solange der Zugriff offen ist, kann jeder einen Speicher lesen, der dessen ID kennt.
- GitHub neu verbinden: Wer Actors aus privaten GitHub-Repositories baut, muss die Verbindung laut Apify neu autorisieren, einmal pro Konto und Organisation.
- Zugänge erneuern: Nach Einschätzung der Redaktion sollten Kunden zusätzlich ihr Apify-Passwort ändern, neue Wiederherstellungscodes für die Zwei-Faktor-Anmeldung erzeugen und API-Tokens neu ausstellen, die in Skripten oder CI-Systemen hinterlegt sind.
- Phishing erwarten: Apify fragt nach eigener Angabe nie nach Passwort, 2FA-Codes oder Zahlungsdaten. Mails mit solchen Bitten sind Betrugsversuche.
- Gespeicherte Daten prüfen: Nach Einschätzung der Redaktion in Apify gespeicherte Ergebnisse auf vertrauliche Inhalte durchsehen, etwa Zugangsdaten oder personenbezogene Daten, die für Meldepflichten nach der DSGVO relevant sein können.
Einordnung für Unternehmen
Der Fall zeigt erneut, wie weit ein einzelner kompromittierter Zugang bei einem Plattformanbieter reicht. Für Kunden zählt weniger der Einstieg als das, was in ihren Konten lag: gespeicherte Scraping-Ergebnisse, Tokens für angebundene Dienste und Wiederherstellungscodes. Wer solche Plattformen nutzt, sollte Tokens mit möglichst kurzer Laufzeit und wenigen Rechten vergeben und Speicher standardmäßig nicht offen lassen.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
- wfx-loot: Gekaperte GitHub-Konten schleusen Secret-Stealer in über 1.800 Repositories
