Apify ihlali: çalınan bir kimlik bilgisi kullanıcı hesaplarını açığa çıkardı; API tokenları artık hash olarak saklanıyor

Web otomasyon platformu Apify, bir saldırganın 9 ve 10 Kasım 2026'da çalınmış bir kimlik bilgisi kullanarak iç sistemlerinin bir bölümüne ulaştığı bir güvenlik olayını açıkladı. Şirketin durum sayfasındaki olay güncellemelerine göre — Hacker News ana sayfasında da görülen bilgilere göre — söz konusu faaliyet 11 Kasım'da saat 12:13 UTC'de tespit edildi, erişim yolu kapatıldı ve o tarihten bu yana başka saldırgan faaliyeti gözlemlenmedi. Bildirimde etkilenen bileşenler olarak api.apify.com adresindeki API, Actors ve General listeleniyor.

İzinsiz giriş nasıl gelişti

Sonraki bir güncelleme yaşananların anlatısını netleştirdi: üçüncü taraf, tek bir ele geçirilmiş kimlik bilgisini kullanarak bir dizi hesap kimlik bilgisi topladı ve ardından bu kullanıcılara ait hesaplara girdi. Apify'ın ilk bildirimi olayı daha genel bir biçimde iç sistemlere erişim olarak tanımlamıştı; sonraki güncellemeler bu çerçeveyi daralttı.

Alınan önlemler arasında Apify çeşitli kritik iç gizli bilgileri (secret) döndürdü, ilgili yetkilileri bilgilendirdi ve dış entegrasyonlara — GitHub dahil — verilen bazı OAuth bağlantılarını iptal etti. Şirket, araştırmasının bu bağlantıların bir saldırı vektörü olarak kullanılabildiğine dair bir kanıt bulmadığını söylüyor. Yine de, özel GitHub depolarından Actor derleyen herkes, entegrasyonu hesap başına ve organizasyon başına bir kez, Actor'ün "Change provider" seçeneği üzerinden yeniden yetkilendirmek zorunda; diğer entegrasyonların kullanıcıları da gerektiğinde yeniden bağlanma yönlendirmesi alacak.

Kişisel bilgilerine veya saklanan verilerine erişilen müşteriler e-postayla tek tek bilgilendirildi. Apify, böyle bir e-posta gelmediyse hesabın şu ana kadar etkilenmiş olarak tanımlanmadığını ve bu değerlendirme değişirse doğrudan iletişime geçileceğini vurguluyor.

API tokenları hash'li depolamaya taşındı

Yanıttan gelen en önemli yapısal değişiklik, API tokenlarının artık yalnızca hash biçiminde tutulması. Hash'leme, kimlik bilgisinin kendisini depolamak yerine ondan tek yönlü bir parmak izi türetir; böylece ileride token deposunun ele geçirilmesi doğrudan kullanılabilir gizli bilgiler vermez. Bu, hesap kimlik bilgilerinin ele geçirildiği bildirilen bu olayın tekrarlanması halinde olası hasarı sınırlıyor.

Apify ayrıca iç servisler arasına ağ düzeyinde segmentasyon ekledi, iç sistemlerde daha güçlü kimlik doğrulama gereksinimleri getirdi ve tüm teknoloji yığını genelinde kapsamlı bir güvenlik incelemesine başladı. Günlük analizi ve şüpheli faaliyet izleme sürüyor.

Kullanıcılar şimdi ne yapmalı

Apify'nin yönlendirmesi yalnızca doğrudan kendisiyle iletişime geçilenlere değil, tüm kullanıcılara yönelik:

• Console'da Settings'i, ardından General resource access'i açın ve Restricted olarak ayarlayın. Ayar açık kaldığı sürece storage içerikleri, storage kimliğini bilen herkes tarafından okunabilir durumda kalır.

• Araştırma tokenlarınızın etkilendiğini tespit ederse Apify bunları sizin adınıza döndürecek ve sizi bilgilendirecek.

• Parolanızı, iki faktörlü doğrulama kodlarınızı veya ödeme bilgilerinizi isteyen her mesajı phishing olarak değerlendirin; Apify bunları hiçbir zaman istemeyeceğini belirtiyor.

• Olay e-postası aldıysanız içindeki talimatları izleyin ve sorularınızı Support'a veya o mesajı yanıtlayarak iletin.

Sırada ne var

Apify, en son gönderisinden itibaren 72 saat içinde yeni bir güncelleme yapmayı ve kök neden ile düzeltici adımları kapsayan bir post-mortem'i bir hafta içinde yayınlamayı taahhüt etti.

Neden önemli

Apify tokenları programatik olarak güçlüdür: dataset'leri, key-value store'ları ve request queue'ları okuyup yazabilir ve Actor'leri başlatabilirler. Bu yüzden kimlik bilgilerinin açığa çıkması, platform üzerine kurulu her pipeline ve otomasyona yayılır; Apify kimlik bilgisi bulunduran her geliştiricinin, bildirim e-postası almasa bile harekete geçmesi bu yüzden önemlidir. İki daha geniş çıkarım öne çıkıyor. Birincisi, API tokenlarını bekleme sırasında (at rest) hash'lemek, etki alanını ciddi biçimde sınırlayan ucuz ve yüksek etkili bir sağlamlaştırma önlemidir ve tokenları hâlâ geri döndürülebilir biçimde saklayan diğer API platformlarının örnek alması gereken bir değişikliktir. İkincisi, Apify'nin uyarmış olduğu storage izni varsayılanı, sessiz ve halihazırda var olan bir açık kaynak: açık resource access'e sahip kullanıcılar bu olaydan bağımsız olarak bunu kısıtlamalı. Post-mortem yayınlanana kadar kök neden ve kapsamın tamamı bilinmiyor; bu da CI işlerine veya betiklere gömülmiş uzun ömürlü Apify tokenlarını döndürmek için makul bir gerekçe.