Apify セキュリティインシデントに関する更新情報

インシデントの概要

• 発生時期: 2026 年 11 月 9 日から 10 日の間
• 原因: 不正行為により侵害された認証情報が利用され、Apify の一部内部システムへのアクセスがなされました。
• 検知時刻: 2026 年 11 月 11 日 12:13（UTC）
• 対応状況: アクセスの即座な遮断および包括的な調査を開始済み

影響範囲

• API (

  api.apify.com

  )
• Actors (アクターズ)
• 一般サービス

---

最新アップデート（2026 年 11 月 13 日付）

中央ヨーロッパ夏時間 17:36現在

状況と対策の進捗

• 調査および対応作業は継続中。
• トークン保管体制の強化: API トークンは既にハッシュ化された状態でのみ保管されており、同様のインシデント発生時の被害範囲を限定的に抑える仕組みが確立されています。
• 攻撃経路の封じ込め: 内部サービス間へのネットワーク制限や、内部システムに対する強固な認証などの追加セキュリティ層を導入済み。
• 包括的な見直し: 全スタックに関するセキュリティの見直しが進行中。
• 監視活動: ログ分析および不審な活動の監視を継続しています。

お客様へのご提案（重要）

• ストレージへのアクセス制限の設定
  • コンソールの「設定」→「一般リソースアクセス」から、アクセス権限を**「制限付き（Restricted）」**に設定してください。
  • 現状「公開（Open）」状態の場合、ストレージ ID を知っている誰でも内容を閲覧可能であるため注意が必要です。
• フィッシング詐欺にご注意
  • Apify はパスワード、2FA コード、支払い詳細の請求を一切行いません。

次のアクションと予定

• 事故報告書: 根本原因と是正措置を含む報告書を、最大で1 週間以内に公開いたします。
• サポート窓口: ご質問は、当メールへの返信またはサポート宛にお送りください。

---

以前のアップデート（2026 年 11 月 12 日付）

中央ヨーロッパ夏時間 17:16 現在

• 個人情報が漏洩されたお客様: 既に個別にご連絡をしております。詳細は受信メールをご覧ください。
• 連絡を受けていないお客様: 現時点では影響ありと特定されていませんが、状況に変化があれば改めてご連絡いたします。
• 次の更新予定: 24 時間以内です。

---

その以前のアップデート（2026 年 11 月 12 日付）

中央ヨーロッパ夏時間 12:08 現在

状況

• 第三者が侵害された認証情報を悪用し、複数のアカウント認証情報を入手・アクセスしていましたが、攻撃経路は既に封じられています。
• 11 月 11 日以降に新たな攻撃活動は検知されていません。

実施済み措置（予防策）

• OAuth 接続の無効化: 外部連携への一部の OAuth 接続を停止しました（攻撃ベクトルとして利用された可能性は低いです）。
• シークレットの再発行: 重要な内部機密情報（シークレット）を再発行（回転）しています。
• 当局への報告: 関連する当局へも通知済みです。

お客様への対応依頼

• メール指示に従う: 当社からのご連絡メールがあれば、その指示を厳守ください。
• GitHub アクターの再認証
  • プライベート GitHub リポジトリからの Actors を構築中の場合は、GitHub との再認証を行ってください。
  • 手順: GitHub で構築されたアクターを開く → 「プロバイダーの変更」→「GitHub」を選択し認証を行う（アカウントおよび組織ごとに 1 回限り）。
• 連携先の再設定: お尋ねがある場合は、連携先のサービスも再設定を行ってください。

次のアクション

• 次の更新予定: 6 時間以内
• 事故報告書: 是正措置の実施後、迅速に公開いたします。

---

初期調査通知（2026 年 11 月 11 日付）

中央ヨーロッパ夏時間 20:46 現在

• 検知時刻: 2026 年 11 月 11 日 12:13（UTC）
• 対応方針: 不正アクセスの防止と、システムへの追加的な監視機能の導入を即座に行いました。
• OAuth 接続の制限: 外部連携（GitHub を含む）への一部の OAuth 接続を無効化しました。影響を受けたお客様には別途メールで再設定をご案内します。
• トークンの処理: 調査の結果、お客様のトークンに影響があったことが判明した場合は、トークンの再発行を行い改めてご連絡いたします。
• 今後の連絡: アカウントまたはデータに実際の影響があった場合は、改めて直接ご連絡いたします。