Contexte de l'incident

Les 9 et 10 novembre, un acteur non autorisé a exploité un identifiant compromis pour récupérer plusieurs identifiants de comptes Apify. L’accès a été détecté grâce à des alertes d’anomalie sur les tentatives de connexion, et la voie d’accès a été fermée immédiatement. Aucun mouvement supplémentaire n’a été observé après le 11 novembre, ce qui indique que l’intrusion a été contenue rapidement.

Mécanisme d'accès non autorisé

Le point d’entrée initial était un credential volé, probablement issu d’une fuite externe ou d’une attaque de phishing. Une fois ce credential en main, l’attaquant a pu interroger les API internes pour extraire d’autres jetons d’authentification, créant ainsi une chaîne de compromission de comptes. Les investigations n’ont pas identifié les connexions OAuth comme vecteur exploitable, mais la présence de ces intégrations a conduit à leur révocation préventive afin d’éliminer toute surface d’attaque résiduelle. Par ailleurs, les secrets internes critiques ont été régénérés, ce qui empêche la réutilisation de jetons ou de clés précédemment exposés.

Mesures de remédiation et limites

Apify a immédiatement révoqué les connexions OAuth vers les services externes, puis a procédé à la rotation de tous les secrets internes sensibles. Les autorités compétentes ont été informées, conformément aux obligations légales de notification. Les utilisateurs affectés reçoivent des courriels détaillant les actions à entreprendre, notamment la reconnexion des dépôts GitHub privés via l’interface « Change provider ». Cette procédure doit être répétée pour chaque compte et chaque organisation afin de rétablir la confiance entre Apify et les fournisseurs d’identité.

Implications pour les intégrations tierces

Les acteurs qui intègrent Apify avec des dépôts GitHub privés doivent revalider les autorisations OAuth, ce qui implique une nouvelle autorisation OAuth unique par compte. Cette étape garantit que les jetons précédemment compromis ne sont plus valides. De plus, les intégrations tierces doivent surveiller les logs d’accès et mettre en place une rotation périodique des secrets pour réduire la fenêtre d’exploitation en cas de fuite future. Apify indique que d’autres activités de sécurisation sont en cours, dont la publication d’un post‑mortem détaillé qui décrira les vecteurs exacts et les leçons tirées.